Polymarket Mengembalikan Dana Pengguna Setelah $3M Peretasan Vendor Pihak Ketiga

Polymarket mengalami pelanggaran keamanan pada hari Kamis setelah peretas mengeksploitasi vendor pihak ketiga yang disusupi, demikian diumumkan platform pasar prediksi tersebut. Serangan tersebut memungkinkan penyuntikan kode berbahaya ke dalam frontend Polymarket, yang mengakibatkan pencurian dana nasabah senilai sekitar 3 juta dolar AS dari kurang dari 15 akun pengguna, menurut firma investigasi blockchain Bubblemaps. Insiden ini menandai pelanggaran keamanan kedua Polymarket dalam dua bulan, menyusul eksploitasi sebelumnya bulan lalu yang merugikan perusahaan sekitar 700 ribu dolar AS akibat dompet karyawan yang disusupi yang digunakan untuk hadiah pengguna.

Peretas Menyuntikkan Kode Berbahaya Melalui Vendor yang Disusupi

Para peretas mengeksploitasi vendor pihak ketiga untuk menyuntikkan kode berbahaya ke dalam frontend situs web Polymarket, demikian pernyataan perusahaan dalam sebuah unggahan X. Polymarket menolak mengidentifikasi vendor mana yang disusupi saat dihubungi oleh Decrypt. Pelanggaran tersebut memungkinkan peretas menguras dana dari dompet nasabah yang berisi pUSD, stablecoin yang dipatok dolar khusus Polymarket yang didukung oleh USDC dan digunakan untuk semua perdagangan platform. Dana yang dicuri kemudian diubah menjadi ETH dan dikonsolidasikan ke dalam satu dompet Ethereum, di mana dana tersebut masih tersisa hingga berita ini ditulis. Penyelidik on-chain dari Bubblemaps mengidentifikasi alamat dompet tertentu yang terdampak, menyimpulkan bahwa potensi kerusakan sebagian besar dapat dibendung dengan kurang dari 15 akun pengguna yang terdampak.

Polymarket Berkomitmen Memberikan Pengembalian Dana Penuh kepada Pengguna yang Terdampak

Polymarket mengumumkan akan mengembalikan dana seluruh nasabah yang terdampak secara penuh. Perusahaan menyatakan bahwa masalah frontend telah diatasi dan dihapus. Polymarket tidak merinci langkah-langkah apa yang akan diterapkan untuk mencegah eksploitasi di masa depan yang melibatkan vendor pihak ketiga yang terlibat langsung dalam pengoperasian situs.

Platform Alami Eksploitasi Senilai 700 Ribu Dolar AS Bulan Lalu

Bulan lalu, Polymarket mengalami peretasan terpisah yang menargetkan dompet yang digunakan oleh karyawan perusahaan untuk mengisi dan membayar hadiah pengguna. Eksploitasi tersebut mengakibatkan kerugian sekitar 700 ribu dolar AS dan kemungkinan disebabkan oleh kompromi kunci pribadi, menurut perusahaan. Pakar keamanan menyatakan pada saat itu bahwa insiden tersebut tampaknya tidak berdampak pada infrastruktur perusahaan atau menimbulkan risiko yang lebih luas. Kedua eksploitasi ini menunjukkan kemampuan peretas untuk menyusup ke platform besar melalui kerentanan periferal meskipun protokol inti tetap aman.

Tanya Jawab

Berapa jumlah yang dicuri peretas dari pengguna Polymarket dalam eksploitasi hari Kamis?
Peretas mencuri dana nasabah senilai sekitar 3 juta dolar AS dari kurang dari 15 akun pengguna, menurut firma investigasi blockchain Bubblemaps.

Apa yang menyebabkan pelanggaran keamanan Polymarket pada hari Kamis?
Pelanggaran terjadi setelah peretas mengeksploitasi vendor pihak ketiga yang disusupi untuk menyuntikkan kode berbahaya ke dalam frontend situs web Polymarket, yang memungkinkan akses tidak sah ke dompet nasabah yang berisi stablecoin pUSD.

Akankah pengguna Polymarket yang terkena peretasan mendapatkan pengembalian dana?
Polymarket mengumumkan akan mengembalikan dana seluruh nasabah yang terdampak secara penuh dan menyatakan bahwa kerentanan frontend telah diatasi dan dihapus.