Injeksi skrip berbahaya pada situs pasar prediksi Polymarket memaksa penjualan aset milik pengguna terdaftar dan mengalihkan dana hasil curian tersebut ke alamat pelaku kejahatan siber pada 29 Oktober. Muatan berbahaya itu disisipkan menggantikan skrip pemantau kecepatan halaman web resmi yang didatangkan platform dari vendor pihak ketiga.

Manajemen Polymarket menyatakan kesiapan untuk mengganti rugi dana senilai sekitar 2,7 juta dolar AS kepada 726 dompet digital yang terdampak langsung. Berdasarkan pelacakan catatan rantai blok, aset kripto senilai kurang lebih 2,64 juta dolar AS terkonfirmasi masuk ke dalam dompet digital milik peretas dalam kurun waktu tidak sampai satu jam.

Skrip yang dimanipulasi tersebut merupakan komponen milik DebugBear, penyedia layanan pemantauan pengguna nyata atau real user monitoring (RUM) yang bertugas mengevaluasi kecepatan pemuatan situs web dari sisi pengunjung aktual.

Para peneliti keamanan siber di Hudson Rock sukses mengunduh berkas berbahaya tersebut pada 29 Oktober langsung dari alamat sumber pemuatan skrip DebugBear di portal Polymarket. Mereka pun menemukan bukti modifikasi kode sumber internal Polymarket yang dengan cepat mencabut skrip DebugBear dari sistem.

Pihak DebugBear memberikan pernyataan resmi melalui platform X bahwa entri DNS mereka telah dibajak melalui registrar domain yang menaunginya. Kesimpulan awal investigasi mereka memperlihatkan bahwa serangan ditargetkan secara khusus kepada portal salah satu klien saja. Perusahaan belum menemukan indikasi peretasan pada infrastruktur internal mereka sendiri, kendati penelusuran mendalam masih berlangsung.

Sementara itu, tim analis Ohey mendeteksi adanya server asing yang melayani permintaan alamat web DebugBear pada pukul 18:13 UTC, saat berkas jahat tersebut masih beroperasi secara online. Pada waktu yang lebih awal di hari yang sama, berkas skrip yang sah sejatinya disalurkan secara aman melalui Google Cloud Storage. Setiap pengguna DebugBear memang memuat salinan skrip tersendiri, dan berkas yang ditukar paksa dalam insiden ini secara spesifik merupakan skrip kepunyaan Polymarket.

Mekanisme Pembobolan Dana Melalui Skrip

Kode jahat ini bekerja dengan memanfaatkan hak akses sah milik pengguna yang sedang terhubung dan membuka situs Polymarket, sebagaimana diungkap Hudson Rock pasca-analisis statis terhadap berkas tersebut tanpa menjalankannya. Skrip tersebut membaca kredensial akun yang tersimpan di dalam peramban web korban, termasuk kunci API perdagangan.

Kunci API tersebut sebenarnya tidak memiliki kemampuan independen untuk mengeksekusi pesanan secara otomatis di platform Polymarket, mengingat setiap transaksi mutlak memerlukan tanda tangan digital dari dompet kripto. Peneliti Hudson Rock tidak menjumpai satu pun instruksi dalam skrip yang bertugas mengekstraksi kunci API, kata sandi, frasa pemulihan, atau kunci privat untuk dikirimkan ke peladen milik pelaku.

Alih-alih mentransfer data sensitif keluar, skrip memilih memindai kode halaman antarmuka Polymarket demi mencari modul pembuat pesanan serta mekanisme penandatangan transaksi yang berwenang memvalidasi pergerakan akun korban.

Dari tahap ini, skrip melancarkan aksinya melalui dua skema berbeda. Untuk akun yang masuk menggunakan dompet kripto pribadi secara langsung, skrip langsung memindahkan posisi perdagangan trader secepatnya menuju dompet peretas. Sementara untuk akun yang terdaftar menggunakan alamat email, skrip menjual kepemilikan posisi pada nilai pasar yang sengaja diturunkan drastis sebelum akhirnya menarik keluar seluruh uang tersebut.

Pada kedua skenario operasi itu, skrip memicu komponen penandatangan milik pengguna untuk mengesahkan berkas permintaan, kemudian menyodorkannya ke relayer Polymarket yang akan mengeksekusi transaksi ke jaringan. Pihak Hudson Rock menggarisbawahi bahwa adanya permintaan penandatanganan tidak serta-merta membuktikan transaksi terjadi tanpa sepengetahuan pengguna. Penyedia dompet kripto tetap memiliki kapasitas untuk memunculkan notifikasi, membatalkan transaksi, atau menerapkan protokol pembatasan sesi.

Dompet penampung yang ditanamkan dalam kode jahat tersebut tercatat menerima gelombang dana pertama pada pukul 17:10 UTC dan transaksi terakhir pada 18:02 UTC, menurut data pelacakan blockchain Ohey. Selama rentang waktu kritis tersebut, alamat peretas mengumpulkan sebanyak 28,6 juta token POL serta berbagai kontrak posisi perdagangan dari 33 alamat dompet berbeda.

Tepat pada pukul 18:19 UTC, simpanan sebanyak 28,6 juta token POL tersebut diestimasi bernilai sekitar 2,64 juta dolar AS berdasarkan kalkulasi harga 0,0922 dolar AS per token dari DefiLlama yang dirilis oleh DefiPrime. Jumlah valuasi ini murni mencakup token POL dan belum memperhitungkan nilai aset dari posisi kontrak perdagangan yang ikut dirampas.

Berdasarkan riwayat transaksi rantai blok, dompet milik penyerang lantas mendistribusikan seluruh 28,6 juta token POL ke tiga alamat penampung lanjutan antara pukul 18:28 hingga 18:38 UTC.

Langkah Tanggap Darurat dan Kompensasi Polymarket

Polymarket mempublikasikan pemberitahuan resmi pertama perihal aktivitas mencurigakan pada dompet pengguna pada pukul 17:38 UTC. Selanjutnya pada pukul 18:05 UTC, mereka mengumumkan pengalihan operasional bursa ke status cancel-only, dibarengi dengan pembekuan seluruh aktivitas relayer.

Pihak pengelola memastikan bahwa skrip berbahaya tersebut berhasil dimusnahkan secara menyeluruh dalam rentang waktu satu jam. Manajemen juga segera mengosongkan seluruh cache data, memutus paksa seluruh sesi login aktif, serta menunda aktivitas perdagangan hingga sistem dipastikan steril. Permasalahan hukum ini telah diteruskan secara resmi kepada aparat berwenang.

Per tanggal 30 Oktober, sebanyak 689 dari total 726 dompet yang terdampak telah menerima penggantian saldo secara utuh, sementara 37 dompet sisanya diselesaikan bertahap seiring proses validasi. Di samping itu, Polymarket menggelontorkan kompensasi tambahan sebesar 1,19 juta dolar AS kepada sekitar 5.500 pemilik dompet yang merugi akibat pembekuan transaksi maupun hilangnya posisi. Total keseluruhan dana pengembalian yang disalurkan mencapai 3,9 juta dolar AS.

Para trader tidak diwajibkan mengajukan klaim ganti rugi secara manual. Meski demikian, portal status Polymarket tetap menyediakan tautan formulir pengaduan bagi pengguna yang merasa nominal pengembalian mereka tidak sesuai atau belum menerima hak kompensasi.

Langkah Pencegahan bagi Operator Situs dan Pengguna

Pihak DebugBear telah mengeluarkan imbauan kepada seluruh klien produk RUM mereka untuk segera mencabut kode sematan dari situs masing-masing. Alamat peladen yang menyebarkan berkas manipulasi, cdn.debugbear[.]com, dilaporkan sudah kehilangan catatan DNS ketika diperiksa oleh The Hacker News pada 1 November.

Polymarket menyatakan bahwa pengintegrasian kembali skrip dari vendor luar akan disertai pengamanan berlapis yang jauh lebih ketat, mencakup penguatan Content Security Policy (CSP), penguncian versi berkas secara spesifik, hingga penerapan sistem isolasi sandboxing.

Saran lanjutan dari Hudson Rock bagi para pengelola situs yang memanfaatkan skrip eksternal:

Saran Hudson Rock kepada kalangan trader adalah untuk selalu menolak setiap permintaan penandatanganan transaksi digital yang mencurigakan atau muncul tanpa dipicu oleh aksi sadar pengguna.