AnswersPublished22 sources
Bagaimana skrip pemantauan yang dikompromi mengosongkan akaun pedagang Polymarket
Pada 29 Oktober 2026, kod hasad yang dihantar melalui skrip pemantauan pihak ketiga menggunakan sesi pengguna yang masih log masuk untuk mengalihkan aset di platform antarabangsa Polymarket. Anggaran kerugian berbeza beza, sekitar AS$2.5 juta hingga AS$2.7 juta; dagangan dihentikan kira kira sejam.
Diterbitkan olehDisunting dengan GPT-6 LunaImej dijana dengan GPT Image 2
Research answer
Key takeaways
- Pada 29 Oktober 2026, kod hasad yang dihantar melalui skrip pemantauan pihak ketiga menggunakan sesi pengguna yang masih log masuk untuk mengalihkan aset di platform antarabangsa Polymarket.
- Anggaran kerugian berbeza beza, sekitar AS$2.5 juta hingga AS$2.7 juta; dagangan dihentikan kira kira sejam.
- Polymarket melaporkan bahawa 689 daripada 726 dompet terjejas telah dibayar balik sepenuhnya, manakala 37 lagi menunggu pengesahan.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened in the October 29 hack of Polymarket’s international platform, including the suspected compromise of UK monitoring provider De. Article summary: The October 29, 2026 incident appears to have been a browser-side supply-chain attack on Polymarket’s international website: malicious third-party monitoring code abused logged-in trading sessions, rather than exploiting. Topic tags: general, news, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
Insiden keselamatan Polymarket pada 29 Oktober 2026 dipercayai merupakan serangan rantaian bekalan di bahagian pelayar: kod hasad yang dihantar melalui skrip pemantauan pihak ketiga yang dikompromi menyalahgunakan sesi dagangan pengguna yang masih log masuk di platform antarabangsa. Serangan itu tidak memerlukan penyerang memecahkan kontrak pintar Polymarket. Anggaran dana yang dicuri berkisar antara AS$2.5 juta hingga AS$2.7 juta, dan dagangan dihentikan kira-kira sejam. 2
6
15
Bagaimana serangan itu berlaku
Polymarket berkata salah satu pembekal pihak ketiganya telah dikompromi. Penyelidik dan laporan susulan mengaitkan skrip hasad itu dengan DebugBear, penyedia pemantauan dan prestasi laman web yang berpangkalan di UK. Namun, dalam kenyataan awalnya seperti yang dilaporkan, Polymarket tidak menamakan pembekal tersebut. 2
29
Laluan serangan yang dilaporkan adalah melalui laman web, bukannya kelemahan pada kontrak pintar asas platform. Analisis JavaScript mendapati kod itu mencari klien dagangan dan portfolio pengguna yang sedang log masuk, kemudian cuba menjual atau memindahkan aset menggunakan sesi aktif tersebut. 3
15 Ringkasnya, kod itu menyalahgunakan akses yang tersedia dalam sesi pelayar pengguna yang terbuka, bukannya memecahkan kontrak secara langsung.
2
22
Dagangan digantung kira-kira sejam
Polymarket mengehadkan operasi bursa antarabangsanya sementara menyiasat, termasuk menukar platform kepada mod pembatalan sahaja dan menghentikan tindakan relayer. Halaman statusnya merekodkan gangguan dari 6:05 hingga 7:05 malam UTC pada 29 Oktober—2:05 hingga 3:05 petang waktu Timur AS (ET)—dan menyatakan dagangan dijangka disambung semula sekitar 3 petang ET. Syarikat itu kemudian menandakan insiden tersebut sebagai selesai. 41
Insiden itu menjejaskan laman antarabangsa, Polymarket.com. Beberapa laporan menyebut platform AS yang berasingan tidak terjejas, tetapi kemas kini status syarikat yang tersedia menumpukan pada platform antarabangsa dan tidak mengesahkan perbezaan itu secara bebas. 24
29
Jumlah yang dicuri dan jejak dana
Laporan menganggarkan kerugian sekitar AS$2.5 juta hingga AS$2.7 juta. Angka ini ialah anggaran, dan sumber melaporkan bahagian insiden yang berbeza: BleepingComputer menjejak kira-kira AS$2.5 juta aset kepada dompet yang disyaki milik penyerang, manakala laporan lain menganggarkan jumlah kerugian menghampiri AS$2.7 juta. 4
6
Laporan rantaian blok menjejak kira-kira 28.6 juta POL yang dikaitkan dengan dompet-dompet yang disyaki milik penyerang, bernilai sekitar AS$2.57 juta menurut laporan BleepingComputer. Jejak itu menunjukkan dana yang kelihatan pada rantaian blok, tetapi dengan sendirinya bukan pengiraan muktamad bagi kerugian setiap pengguna. 6
Bayaran balik dan perkara yang masih belum jelas
Menjelang pagi Jumaat, 30 Oktober, Polymarket melaporkan bahawa 689 daripada 726 dompet terjejas telah dibayar balik sepenuhnya, sementara 37 lagi menunggu pengesahan. 22 Jumlah pembayaran balik AS$3.9 juta yang dilaporkan syarikat itu turut merangkumi peruntukan berasingan sebanyak AS$1.19 juta untuk kira-kira 5,500 dompet yang terjejas akibat gangguan dagangan atau posisi yang diambil semasa insiden, menurut laporan yang memetik kemas kini platform tersebut.
23
Beberapa laporan sekunder menyatakan bahawa pengguna yang mengalami kerugian melebihi AS$10,000 perlu menandatangani borang pelepasan. Bahan yang tersedia di sini tidak mengesahkan syarat tepatnya atau menyokong dakwaan tentang pemeriksaan identiti mahupun klausa larangan mengkritik syarikat. Oleh itu, butiran tersebut wajar dianggap belum disahkan. 24
46
Pengajaran keselamatan: kod pihak ketiga boleh mewarisi kepercayaan laman
Skrip pemantauan mungkin mempunyai fungsi operasi yang sah. Namun, kod yang dimuatkan ke laman dagangan boleh menjadi risiko keselamatan jika ia boleh berinteraksi dengan fungsi yang memerlukan pengguna log masuk. Dalam insiden ini, serangan yang dilaporkan menggunakan sesi pelayar pengguna yang membuka laman tersebut. 3
22
Satu langkah perlindungan yang mungkin digunakan ialah Subresource Integrity (SRI). Ciri ini membolehkan pelayar membandingkan skrip luaran dengan cincangan yang dipercayai dan menolaknya jika fail itu telah berubah. Perlindungan tersebut hanya membantu jika digunakan dengan betul pada laluan pemuatan skrip yang dikompromi; ia bukan jaminan terhadap semua jenis pencerobohan pada pembekal pihak ketiga atau laman itu sendiri. 44
Halaman status Polymarket kemudian menerbitkan kemas kini terperinci tentang insiden dan tindak balas syarikat. 29 Laporan yang tersedia menjelaskan secara umum bagaimana serangan berlaku, anggaran kerugian dan perkembangan bayaran balik, tetapi beberapa syarat undang-undang serta skop penuh perkhidmatan yang terjejas masih belum dipastikan.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Bagaimana skrip pemantauan yang dikompromi mengosongkan akaun pedagang Polymarket"?
Pada 29 Oktober 2026, kod hasad yang dihantar melalui skrip pemantauan pihak ketiga menggunakan sesi pengguna yang masih log masuk untuk mengalihkan aset di platform antarabangsa Polymarket.
What are the key points to validate first?
Pada 29 Oktober 2026, kod hasad yang dihantar melalui skrip pemantauan pihak ketiga menggunakan sesi pengguna yang masih log masuk untuk mengalihkan aset di platform antarabangsa Polymarket. Anggaran kerugian berbeza beza, sekitar AS$2.5 juta hingga AS$2.7 juta; dagangan dihentikan kira kira sejam.
What should I do next in practice?
Polymarket melaporkan bahawa 689 daripada 726 dompet terjejas telah dibayar balik sepenuhnya, manakala 37 lagi menunggu pengesahan.
Sources
gamingamerica.comIs Polymarket Safe? $2.7 Million Hack Exposes Weak Tech Stac
bleepingcomputer.comPolymarket halts trading after crypto-draining script breach ...
securityweek.com$2 Million+ Drained From Polymarket Traders in New ...
status.polymarket.comSecurity incident - 3rd party vendor compromised - Incident details - Polymarket - Status