Polymarket Kebobolan $2,65 Juta Lewat Skrip Pihak Ketiga, 995 Akun Terkuras dalam Sejam

Pada Kamis, 29 Oktober 2026, pengguna Polymarket mulai melaporkan sesuatu yang tidak seharusnya terjadi: aset mereka keluar dari akun tanpa persetujuan mereka. Platform pasar prediksi itu kemudian menempatkan bursa internasionalnya dalam mode cancel-only, artinya pengguna masih bisa membatalkan order yang sudah ada, tapi tidak bisa menempatkan order atau perdagangan baru, sementara aksi relayer juga dijeda selama penyelidikan.

Ini bukan peretasan kontrak pintar dalam arti klasik. Yang dikompromikan, menurut pernyataan resmi Polymarket, adalah penyedia pihak ketiga. Dan menurut temuan peneliti keamanan yang dikutip Reuters, Wall Street Journal, dan Decrypt, celahnya ada di skrip pemantau kinerja situs, DebugBear, yang kode berbahayanya bisa membajak sesi perdagangan pengguna yang sedang aktif. Pelajaran untuk pembaca memecoin.id justru ada di sini: wallet bisa terkuras bukan karena private key bocor, melainkan karena sesi di sebuah situs yang sedang dibuka sudah dibajak dari dalam.

Kronologi satu jam yang menguras hampir 1.000 akun

Investigator on-chain StarPlatinum, yang dikutip U.Today, merinci laju pengurasan itu dalam hitungan menit, dalam waktu UTC pada 29 Oktober 2026. Sekitar pukul 17.05 UTC, sebuah wallet kosong mulai menerima dana. Pukul 17.25 UTC, wallet itu sudah mengumpulkan sekitar $412.000. Pukul 17.50 UTC, angkanya melonjak menjadi sekitar $2,02 juta, dan pukul 18.05 UTC mencapai sekitar $2,68 juta. Totalnya, wallet yang diduga milik penyerang itu mengumpulkan sekitar 28,6 juta POL.

Sumber data: pelacakan StarPlatinum seperti dikutip U.Today; data Arkham seperti dikutip The Block dan Decrypt; pernyataan resmi Polymarket di X dan halaman statusnya, 29 Oktober 2026. Jam kronologi dikutip apa adanya dari laporan-laporan tersebut.

Angkanya: sekitar $2,65 juta, tapi itu estimasi pelacak, bukan angka resmi

Di sinilah pembaca perlu berhati-hati dengan angka yang beredar, karena Polymarket sendiri, sampai laporan ini ditulis, belum mengumumkan total kerugian resmi. Angka yang paling banyak dikutip berasal dari analis on-chain Conor Grogan: 995 akun terkuras dengan total kerugian $2.654.211,42, dengan dua kerugian terbesar masing-masing sekitar $341.000 dan $307.000. Data Arkham yang dikutip The Block dan Decrypt menunjukkan wallet yang diduga milik penyerang memegang sekitar $2,65 juta dalam bentuk POL setelah serangkaian penukaran USDC.e ke POL lewat Relay. Sementara itu, Wall Street Journal, dari penelaahan aktivitas wallet, menyebut dana lebih dari $2,5 juta yang dipindahkan dalam lebih dari 900 transaksi.

Selisih kecil antara $2,65 juta dan $2,68 juta itu wajar: pelacak yang berbeda menghitung pada menit yang berbeda, dengan harga POL yang bergerak. Yang konsisten di semua sumber adalah skalanya, jutaan dolar, ratusan akun, dan durasinya, sekitar satu jam. Laporan pengguna individual juga sejalan dengan skala itu, meski statusnya tetap laporan sepihak. Seorang trader dengan nama akun CarOnPolymarket menulis di X bahwa ia terkuras $800.000 dan seorang temannya kehilangan sekitar $600.000, sambil memperingatkan pengguna lain untuk mengunci akun mereka dan tidak berinteraksi dengan situs itu selama insiden berlangsung.

Bagaimana skrip pihak ketiga bisa menguras wallet

Menurut peneliti keamanan Hudson Rock yang dikutip Decrypt dan Basis Desk, kode berbahaya itu disembunyikan di dalam skrip DebugBear, sebuah layanan pemantau kinerja situs web, yang dimuat di halaman Polymarket. Skrip itu, menurut temuan tersebut, menargetkan sesi perdagangan yang sedang aktif: ia bisa membajak penanda tangan (signer) perdagangan dan pesan relayer EIP-712 untuk melikuidasi posisi atau memindahkan token, dengan alamat wallet penyerang, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, ditulis langsung di dalam kode sebagai penerima cadangan.

Reuters, mengutip sumber yang mengetahui masalah ini, mengidentifikasi DebugBear sebagai penyedia pihak ketiga yang dimaksud. DebugBear sendiri, lewat unggahan di X pada hari yang sama, menyatakan pihaknya terdampak insiden keamanan yang sedang berlangsung dan mendesak pelanggan yang memakai produk RUM-nya untuk menghapus kode embed dari situs mereka. Polymarket, menurut temuan peneliti, menghapus integrasi skrip itu sekitar pukul 17.59 UTC. Perlu dicatat dengan jujur: identifikasi DebugBear ini berasal dari sumber Reuters dan temuan peneliti, sementara pernyataan resmi Polymarket hanya menyebut “penyedia pihak ketiga” tanpa menamai perusahaannya.

Polymarket menyatakan insiden itu sudah dirujuk ke penegak hukum, dan Reuters menyebut penegak hukum yang dimaksud adalah kepolisian Inggris, sesuai lokasi penyedia tersebut beroperasi. Platform AS-nya, menurut laporan-laporan itu, tidak terdampak dan terus beroperasi normal selama platform internasionalnya dihentikan.

Bukan yang pertama: Juni 2026 sudah terjadi dengan pola yang sama

Yang membuat insiden ini lebih dari sekadar kecelakaan satu kali adalah riwayatnya. CoinDesk mencatat ini adalah kedua kalinya dalam beberapa bulan terakhir pengguna Polymarket kehilangan dana karena pelanggaran pihak ketiga. Pada Juni 2026, vendor pihak ketiga lainnya dikompromikan dan kode JavaScript berbahaya disuntikkan ke frontend Polymarket, dengan kerugian sekitar $2,94 juta sampai $3 juta dari sedikitnya 11 wallet, menurut U.Today dan CoinDesk.

Pola yang berulang itu yang seharusnya membuat pengguna waspada. Sekali bisa disebut celah vendor yang sial, dua kali dengan pola yang sama, skrip pihak ketiga yang disusupi lalu dipakai menguras sesi pengguna, adalah masalah sistemik soal berapa banyak kode pihak ketiga yang diizinkan berjalan di dalam aplikasi keuangan yang sudah terautentikasi. Platformnya sendiri bisa punya kontrak yang aman, tapi kalau satu skrip analitik atau pemantau kinerja di halamannya dikompromikan, penyerang ikut mendapat akses ke alat penandatanganan yang tersedia di sesi pengguna.

Pola pengurasan lewat celah di luar token itu sendiri sudah berulang di kasus-kasus yang pernah dibedah memecoin.id. Pada kasus phishing notifikasi palsu NGRAVE, korban kehilangan sekitar $2,56 juta bukan karena hardware wallet-nya diretas, melainkan karena mereka diarahkan ke situs dan instruksi palsu. Pada kasus MIKA, yang bocor adalah private key wallet developer yang malah diunggah ke X, sehingga setengah suplai token bisa berpindah dan terjual dalam tujuh detik. Polymarket menambah variasi ketiga: tidak ada private key yang bocor dan tidak ada situs phishing tiruan, yang dibajak adalah sesi pengguna di situs aslinya sendiri.

Satu catatan konteks untuk pembaca di Indonesia. Polymarket sudah diblokir di Indonesia sejak Mei 2026, ketika Kementerian Komunikasi dan Digital menilai platform pasar prediksi itu sebagai judi online berkedok pasar prediksi, setelah beredar pasar taruhan soal masa jabatan Presiden Prabowo Subianto. Artikel ini adalah laporan berita dan peringatan keamanan, bukan ajakan untuk mengakses platform yang diblokir. Pelajarannya berlaku umum untuk semua aplikasi kripto berbasis web: sesi yang sedang login adalah target, dan skrip pihak ketiga di halaman itu adalah permukaan serangan.

Posisi yang jujur soal kasus ini adalah begini. Yang terverifikasi dari banyak sumber independen: pada 29 Oktober 2026, platform internasional Polymarket dihentikan sementara setelah penyedia pihak ketiga dikompromikan, ratusan akun terkuras dengan estimasi kerugian sekitar $2,65 juta, dana ditukar ke POL, dan Polymarket berjanji mengganti penuh pengguna yang terdampak. Yang masih berupa temuan peneliti dan sumber anonim, bukan pernyataan resmi perusahaan: nama DebugBear sebagai penyedia yang dikompromikan dan detail teknis skripnya. Dan yang belum terverifikasi sampai laporan ini ditulis: apakah janji penggantian itu sudah benar-benar dibayarkan kepada setiap korban, dan berapa total kerugian final menurut audit resmi Polymarket.