Polymarket satte sin internationale handelsplatform på pause i næsten en time torsdag den 29. oktober 2026, efter at brugere meldte, at penge var forsvundet fra deres konti. Selskabet oplyste, at en tredjepartsleverandør var blevet kompromitteret, og at problemet var løst. Det lovede samtidig at erstatte alle berørte handlendes tab.
10
13
16
Sådan blev handelen begrænset
Platformen gik i såkaldt cancel-only-tilstand: Brugerne kunne annullere eksisterende ordrer, men ikke lægge nye købs- eller salgsordrer. Polymarket satte også sin relayer på pause – en funktion, der håndterer visse handlinger på platformen. De tilgængelige oplysninger fastslår ikke præcist, hvilke begrænsninger pausen medførte for tokenoverførsler og godkendelser af forbrug.
5
12
14
Handelen blev ifølge medier genåbnet omkring kl. 15 amerikansk østkysttid, efter afbrydelsen havde varet omtrent en time. CNBC omtalte hændelsen som begrænset til den internationale platform; den amerikanske platform blev beskrevet som tilsyneladende uberørt.
9
16
Sporet førte til et overvågningsscript
Polymarket navngav ikke selv leverandøren i sin første omtale af hændelsen. Medier og sikkerhedsanalytikere pegede imidlertid på DebugBear, hvis Real User Monitoring-script var indlejret på Polymarkets hjemmeside. DebugBear meldte offentligt, at virksomheden var ramt af en igangværende sikkerhedshændelse.
7
10
14
Rapporter beskrev, hvordan et kompromitteret tredjepartsscript kunne have været brugt til at få adgang til handelsoplysninger i brugernes browsersessioner. De tilgængelige kilder dokumenterer dog ikke uafhængigt hele forløbet – herunder præcis hvordan eventuelle positioner blev solgt, eller hvordan hvert enkelt beløb blev overført.
6
10
Hvad viser pengesporet?
Enkelte handlende fremsatte store tabspåstande. En bruger sagde, at vedkommende havde mistet 800.000 dollar, og at en ven havde mistet yderligere 600.000 dollar. Det er personlige meldinger, ikke beløb Polymarket eller de foreliggende kilder har bekræftet som endelige tab.
7
Blockchain-data omtalt af medier viste, at en mistænkt adresse vekslede USDC.e og USDC til kryptovalutaen POL. Adressen havde på et tidspunkt POL til en værdi af omkring 2,65 millioner dollar og overførte senere midler videre. Det er et øjebliksbillede af en mistænkt wallet – ikke en endelig opgørelse over brugernes samlede tab.
1
2
8
Sikkerhedsfirmaet Hudson Rock sagde, at adressen var indkodet som en reserveadresse i et script med wallet-drænende kode. En separat teknisk gennemgang viste omkring 2,18 millioner dollar i POL på adressen på et andet tidspunkt.
1
2
3
Erstatning og ubesvarede spørgsmål
Polymarket sagde, at fejlen var rettet, henviste sagen til myndighederne og lovede at gøre berørte handlende hele. CNBC rapporterede, at sagen var henvist til britiske myndigheder. Selskabet har ikke oplyst, hvor mange brugere der blev ramt, eller givet en samlet opgørelse over tabene i de omtalte rapporter.
9
13
16
Hændelsen faldt sammen med, at Polymarket også undersøgte mistænkeligt timede og profitable væddemål omkring Israels valg, herunder handler fra hundredvis af nyoprettede konti kort før valgstederne lukkede. Der er ikke dokumenteret nogen forbindelse mellem undersøgelsen af disse handler og sikkerhedsbruddet.
17
18
Oplysninger om et lignende angreb i juni, en værdiansættelse på 21 milliarder dollar og et forventet handelsboom omkring det amerikanske midtvejsvalg kan ikke bekræftes af de kilder, der ligger til grund for denne artikel.