Peretasan Polymarket: Bagaimana Kebocoran Private Key Menguras Lebih dari $500K POL

Gambaran Singkat Insiden

Pada 22 Mei 2026, platform prediction market berbasis kripto Polymarket mengonfirmasi adanya insiden keamanan yang menyebabkan ratusan ribu dolar token POL terkuras dari sebuah dompet operasional internal. Dompet tersebut terhubung dengan infrastruktur UMA CTF Adapter di jaringan Polygon.

Perkiraan kerugian bervariasi tergantung waktu pengukuran transaksi, dengan laporan awal sekitar $520.000 dan beberapa laporan lain menyebut totalnya bisa mencapai lebih dari $660.000.

Polymarket menegaskan bahwa insiden ini tidak melibatkan bug pada smart contract inti maupun saldo pengguna. Penyebabnya adalah private key dari dompet operasional internal yang terekspos, sehingga penyerang dapat menandatangani transaksi secara sah.

Apa Itu UMA CTF Adapter

Untuk menyelesaikan hasil pasar prediksi, Polymarket menggunakan Optimistic Oracle milik UMA. Sistem ini memverifikasi hasil peristiwa dunia nyata—misalnya hasil pemilu atau data ekonomi—sebelum pasar diselesaikan.

Komponen yang menghubungkan sistem Polymarket dengan oracle tersebut adalah UMA CTF Adapter, yang menjembatani framework conditional token (CTF) Polymarket dengan mekanisme verifikasi UMA.

Lapisan adapter ini merupakan bagian penting dari infrastruktur penyelesaian (settlement) pasar di jaringan Polygon.

Ketika aktivitas mencurigakan pertama kali muncul, beberapa laporan awal menyebutnya sebagai kemungkinan exploit smart contract. Namun penjelasan resmi dari Polymarket kemudian menyatakan bahwa logika kontraknya tidak rusak.

Bagaimana Serangan Ini Terdeteksi

Insiden ini pertama kali diketahui publik melalui pemantauan data blockchain (on‑chain) oleh peneliti keamanan kripto ZachXBT.

Ia menemukan pola transaksi yang tidak biasa dari alamat yang terkait dengan adapter Polymarket. Pola tersebut menunjukkan:

• Penarikan berulang sekitar 5.000 POL setiap 30 detik.
• Transaksi berlangsung berulang secara otomatis.
• Nilai total yang terus meningkat seiring waktu.

Aktivitas tersebut segera memicu peringatan di berbagai kanal pemantauan kripto dan media industri, karena pola drain berulang sering menandakan adanya serangan otomatis terhadap sebuah dompet atau kontrak.

Bagaimana Dana Dipindahkan oleh Penyerang

Analisis on‑chain menunjukkan beberapa pola umum yang digunakan penyerang untuk mengelola dana hasil pencurian:

• Setidaknya dua alamat terkait infrastruktur adapter dikuras selama insiden.
• Token POL yang dicuri didistribusikan ke banyak dompet berbeda untuk mempersulit pelacakan.
• Sebagian dana dikirim menuju bursa kripto, kemungkinan untuk ditukar atau diuangkan.

Karena transaksi blockchain bersifat publik, para peneliti dapat mengikuti aliran dana tersebut secara real‑time selama serangan berlangsung.

Mengapa Bukan Exploit Smart Contract

Banyak laporan awal menyebut kejadian ini sebagai “exploit”. Namun Polymarket kemudian menjelaskan bahwa penyebab sebenarnya adalah private key yang dikompromikan dari dompet operasional internal.

Perbedaannya cukup penting dalam konteks keamanan DeFi:

• Exploit smart contract berarti penyerang menemukan bug pada kode kontrak dan memanfaatkannya untuk menguras dana.
• Kompromi private key berarti penyerang memperoleh akses sah untuk menandatangani transaksi dari sebuah dompet.

Dalam kasus ini, sistem blockchain bekerja sesuai desainnya—tetapi transaksi dijalankan oleh pihak yang tidak berwenang karena mereka memiliki kunci privat tersebut.

Apakah Dana Pengguna Aman?

Polymarket menyatakan secara publik bahwa insiden ini tidak memengaruhi dana pengguna maupun mekanisme penyelesaian pasar.

Menurut tim pengembang:

• Saldo pengguna tidak terdampak.
• Smart contract inti tetap aman.
• Pasar prediksi tetap berjalan normal.

Artinya, kerugian terbatas pada dompet operasional internal yang digunakan untuk fungsi infrastruktur seperti pembayaran atau operasional platform.

Pertanyaan Keamanan yang Masih Terbuka

Meskipun penyebab umum telah dijelaskan, sejumlah pertanyaan penting masih belum terjawab saat laporan awal diterbitkan:

• Bagaimana private key tersebut bocor? Belum diketahui apakah berasal dari server, perangkat pengembang, atau kegagalan prosedur keamanan.
• Mengapa dompet tersebut memiliki hak akses cukup besar untuk memindahkan dana tanpa perlindungan tambahan.
• Mengapa penarikan berulang dapat berlangsung lama, padahal pola transaksi terlihat jelas.
• Apakah ada sistem pengamanan seperti multisignature atau hardware security module (HSM) yang digunakan untuk menyimpan kunci.

Tanpa laporan teknis lengkap (postmortem), analis keamanan hanya dapat menyimpulkan bahwa insiden ini kemungkinan besar merupakan kegagalan keamanan operasional, bukan kelemahan pada protokol DeFi itu sendiri.

Pelajaran untuk Keamanan DeFi

Kasus Polymarket kembali menunjukkan pelajaran penting di dunia keuangan terdesentralisasi:

Bahkan jika smart contract sudah aman, titik lemah sering berada pada manajemen kunci, dompet operasional, dan infrastruktur off‑chain.

Jika private key bocor, penyerang dapat melakukan transaksi yang sepenuhnya valid di blockchain—dan hampir tidak ada mekanisme yang dapat menghentikannya secara otomatis.

Bagi proyek DeFi yang mengelola sistem kompleks seperti oracle, adapter, dan dompet operasional, insiden ini memperkuat pentingnya:

• manajemen kunci yang ketat
• pemisahan hak akses
• sistem pemantauan transaksi real‑time
• serta kontrol keamanan tambahan seperti multisig.

Tanpa praktik tersebut, bahkan platform dengan smart contract yang aman tetap dapat mengalami kerugian besar akibat kesalahan operasional.