Polymarket menghentikan sementara perdagangan di bursa internasionalnya pada Kamis, 29 Oktober 2026, setelah pengguna melaporkan dana mereka keluar tanpa izin. Perusahaan menyebut sebuah penyedia layanan pihak ketiga telah disusupi. Perdagangan dibuka kembali sekitar pukul 15.00 waktu Timur AS (ET), setelah terhenti hampir satu jam.
7
16
Laporan analisis keamanan mengaitkan skrip berbahaya itu dengan layanan pemantauan situs DebugBear yang dimuat di halaman Polymarket. Namun, tidak semua rincian teknis tentang cara penyerang mengakses akun dan memindahkan dana telah dipastikan secara independen.
Apa yang terjadi pada platform?
Polymarket mengubah bursa internasionalnya ke mode cancel-only. Artinya, pengguna masih dapat membatalkan pesanan yang sudah dipasang, tetapi tidak dapat membuat pesanan beli atau jual baru. Perusahaan juga menghentikan operasi relayer selama penyelidikan. Relayer merupakan layanan perantara untuk memproses sejumlah tindakan di platform; laporan yang tersedia tidak memastikan secara rinci tindakan transfer token atau persetujuan pembelanjaan mana saja yang terdampak.
5
6
Para peneliti mengaitkan kode berbahaya dengan skrip Real User Monitoring (RUM) milik DebugBear, layanan pemantauan kinerja situs. DebugBear dilaporkan menyatakan bahwa produk RUM-nya terdampak insiden keamanan.
14 Sejumlah laporan menyebut skrip tersebut dapat mengakses konteks akun pengguna di peramban. Namun, urutan persisnya—termasuk klaim bahwa kredensial yang tersimpan di peramban dicuri, posisi dijual dengan harga sangat rendah, lalu hasilnya dikirim kepada penyerang—belum terkonfirmasi secara independen dalam laporan yang tersedia.
6
10
Insiden ini dilaporkan berdampak pada bursa internasional. CNBC menyebut perdagangan kembali berjalan pada pukul 15.00 ET, tetapi jumlah pengguna terdampak belum diungkapkan. Laporan yang tersedia tidak menyebut adanya gangguan serupa pada platform Polymarket di AS; hal itu bukan konfirmasi bahwa platform tersebut dipastikan tidak terdampak.
9
16
Klaim kerugian dan jejak dana
Seorang trader mengaku kehilangan US$800.000 dan menyebut seorang temannya kehilangan US$600.000. Angka tersebut merupakan klaim yang dilaporkan, bukan jumlah kerugian yang telah diverifikasi secara independen.
7
Data Arkham yang dikutip sejumlah laporan menunjukkan alamat dompet yang diduga milik penyerang menukar USDC.e dan USDC menjadi POL. Dompet itu sempat memegang POL senilai sekitar US$2,65 juta, lalu memindahkan sekitar 28,64 juta POL dalam tiga transaksi. Nilai pada dompet tersebut merupakan cuplikan pada waktu tertentu, bukan total kerugian akhir para pengguna.
2
8
11
Hudson Rock dilaporkan menemukan alamat penerima cadangan yang ditanam langsung di dalam skrip tersebut.
1
2 Temuan alamat itu membantu penelusuran teknis, tetapi tidak dengan sendirinya memastikan jumlah korban atau seluruh aliran dana yang berasal dari akun pengguna.
Respons Polymarket dan hal yang belum jelas
Polymarket mengatakan telah memperbaiki masalah, merujuk perkara ini kepada penegak hukum, dan berjanji mengganti kerugian seluruh trader yang terdampak. CNBC melaporkan bahwa perkara tersebut dirujuk kepada otoritas Inggris. Perusahaan belum mengumumkan jumlah pasti akun terdampak maupun total kerugian.
9
13
Secara terpisah, Polymarket juga sedang menyelidiki taruhan yang dinilai mencurigakan dan menguntungkan menjelang pemungutan suara dalam pemilihan Israel. Laporan menyebut ratusan akun baru memasang taruhan sesaat sebelum tempat pemungutan suara ditutup. Belum ada bukti dalam laporan yang tersedia bahwa taruhan itu berkaitan dengan insiden keamanan ini.
17
18
Sejumlah latar yang beredar—termasuk klaim pencurian sekitar US$3 juta melalui penyedia vendor pada Juni, penyebutan insiden Oktober sebagai serangan keamanan ketiga tahun itu, valuasi perusahaan sebesar US$21 miliar, dan perkiraan lonjakan aktivitas menjelang pemilu sela AS pada 3 November—tidak dapat dikonfirmasi dari sumber yang digunakan di sini.