Gangguan keamanan yang terjadi pada Polymarket pada 29 Oktober 2026 memperlihatkan bagaimana layanan pihak ketiga dapat menjadi pintu masuk penyerang. Platform pasar prediksi internasional itu mengonfirmasi bahwa skrip pemantauan performa dari penyedia eksternal telah disusupi dan diganti dengan kode berbahaya.
Kode tersebut menargetkan pengguna yang sedang membuka situs dan sudah masuk ke akunnya. Menurut laporan pascainsiden Polymarket bertanggal 30 Oktober, penyerang memanfaatkan sesi aktif untuk menjual posisi tertentu dan memindahkan dana dari dompet korban. Polymarket sempat menghentikan perdagangan dan kemudian membuka kembali layanan setelah membersihkan skrip bermasalah.
Dalam pembaruan resmi, perusahaan menyebut dana sekitar US$2,7 juta terdampak secara langsung. Angka tersebut berbeda dari total dana US$3,9 juta yang disiapkan untuk pengembalian dan kompensasi karena mencakup tambahan US$1,2 juta atas dampak jeda perdagangan.
Bagaimana skrip berbahaya bisa menyerang Polymarket?
Polymarket menggunakan kode dari penyedia pemantauan performa situs. Setelah pihak ketiga tersebut dikompromikan, penyerang mengganti skrip yang dimuat melalui halaman Polymarket. Skrip berbahaya dapat beroperasi ketika halaman dibuka oleh pengguna dengan sesi login aktif.
Berbeda dengan pencurian yang dimulai dari pengambilalihan private key milik seluruh pengguna, kasus ini dijelaskan sebagai serangan terhadap rantai pasokan perangkat lunak atau software supply chain. Artinya, komponen dari luar layanan utama justru menjadi jalur serangan bagi orang yang memakai situs tepercaya.
Langkah darurat yang dilakukan Polymarket
- Menghapus skrip pemantauan pihak ketiga yang terkompromi dan membersihkan cache.
- Menangguhkan perdagangan serta layanan relayer untuk membatasi transaksi lanjutan.
- Mengatur ulang sesi login aktif agar sesi terdampak tidak terus digunakan.
- Menyiapkan kontrol integritas skrip tambahan dan melibatkan penegak hukum.
Status operasional yang diterbitkan Polymarket menunjukkan insiden keamanan pada 29 Oktober telah ditandai selesai, setelah jeda layanan pada hari yang sama. Status terselesaikannya gangguan situs tidak sama dengan selesainya seluruh proses investigasi maupun kompensasi.
Pengembalian dana mencapai US$3,9 juta
Dalam laporan pascainsiden 30 Oktober, Polymarket mengatakan 95 persen dompet yang memenuhi kriteria sebagai terdampak telah menerima pengembalian penuh pada waktu pembaruan. Perusahaan menghitung kompensasi untuk dana yang keluar akibat serangan serta kerugian terkait perdagangan yang dibekukan sementara.
Perusahaan menyebut total pengembalian dan kompensasi mencapai US$3,9 juta, terdiri atas sekitar US$2,7 juta dana terdampak dan tambahan US$1,2 juta untuk kerugian terkait penghentian perdagangan. Klaim 95 persen tersebut adalah posisi pada saat pengumuman, bukan konfirmasi bahwa seluruh pemilik akun telah menerima dana.
Apa dampaknya bagi pengguna?
Pelajaran penting dari kasus ini adalah bahwa sesi login yang sah dapat disalahgunakan apabila kode yang dijalankan di halaman web berubah menjadi berbahaya. Pengguna tidak selalu harus memberikan kata sandi atau menandatangani transaksi palsu secara manual agar risiko tersebut muncul.
Polymarket mengakui serangan melalui skrip vendor eksternal pada 29 Oktober 2026. Perusahaan menyatakan gangguan telah diatasi dan menguraikan kompensasi total US$3,9 juta, termasuk pengembalian dana korban.
Cara mengurangi risiko saat menggunakan layanan kripto berbasis web
Pengguna dapat keluar dari sesi yang tidak dipakai, memeriksa riwayat transaksi secara berkala, mengaktifkan metode autentikasi yang tersedia, serta menggunakan alamat situs resmi. Bila menemukan transaksi tidak dikenal, pengguna sebaiknya segera memeriksa pengumuman layanan dan menghubungi pusat dukungan melalui kanal yang diverifikasi.
Kasus Polymarket juga menggarisbawahi pentingnya audit integritas skrip pihak ketiga oleh operator platform. Artikel ini disusun dari catatan status dan pascainsiden Polymarket yang diperbarui 30 Oktober 2026 serta laporan BleepingComputer dan AP tentang serangan tersebut.
