Pina-stop ng Polymarket ang lahat ng bagong trading nitong Huwebes, mga 20 minuto matapos magreklamo ang isang trader na nawala ang $800,000 sa account niya at nag-warning pa na may iba pang natamaan. Wala pang sinasabi ang company kung na-hack nga ba sila o hindi.
Habang hindi pa natatapos ang freeze, puwede lang mag-cancel ng pending orders ang mga user na may open positions pero hindi sila puwedeng bumili o magbenta. Ayon sa trader, may kaibigan din daw siyang nawalan pa ng $600,000, kaya umaabot na sa $1.4 million ang reported na nalugi.
Nahack ba ang Polymarket?
Mga 17:45 UTC, nagpost si Car (trader sa X) ng warning sa mga user na i-secure agad ang account nila.
“Kung Polymarket user ka, i-lock down mo muna ang account mo. Kakabunot lang sa akin ng $800,000. May mga iba pang apektado. Kaibigan ko nabawasan ng $600k. Ingat kayo huwag muna mag-interact sa site,” babala niya.
Sa sumunod niyang post, sinabi rin niya na nailabas o nabenta na lahat ng positions sa account niya.
Mga 18:05 UTC, nag-flag ang status page ng Polymarket ng matinding outage. Naka-cancel-only mode ngayon ang exchange habang iniimbestigahan pa nila ang issue.
Pina-stop din ng Polymarket ang relayer nila. Sa developer documentation nila, itong relayer ang nagse-send ng token transfers at spending approvals para sa Polymarket wallets ng users.
Pero hanggang ngayon, hindi kinabit ng company ang outage sa nangyaring pagka-drain ng funds. Wala pa silang sinasabi kung ano ang cause, ilan lahat ang biktima, o magkano lahat ang nalugi. Hindi pa rin ma-verify ng BeInCrypto ang mga sinasabing nawala na $800,000 o $600,000.
Paano Hinandle ng Polymarket ang $3 Million Website Attack noong June
Noong June, base sa mga report, may attackers na gumalaw sa code mula sa third-party vendor na tumatakbo sa website ng Polymarket.
Dahil dito, may lumabas na window na pinapapirma sa ilang users ng approval sa transfers papunta sa attackers. Umabot sa $3 million na pUSD (token na pegged sa US dollar at ginagamit na trading collateral sa bagong Polymarket) ang nailipat mula sa wala pang 15 accounts.
Pero hindi naman nabuksan ang mga smart contract na nagho-hold ng funds ng users. Nangyari ito, nag-promise ang Polymarket na babawiin nila ang pera ng lahat ng natamaan.
“Ibabalik namin buo ang funds ng mga natamaan, walang lugi ang users,” sabi ni William LeGate, head ng experience ng Polymarket.
Sa ngayon, wala pang ganitong promise ang Polymarket para dito sa nangyaring incident nitong Huwebes.
Nangyari ang pagka-freeze dalawang araw lang pagkatapos malugi ng $400,000 ang Predict.fun (kalabang prediction market), na hinack din. Dalawang malalaking pagka-drain sa isang linggo, kaya mas naging kritikal ang security ng mga ganitong platform — hindi lang ang actual markets nila.
Susunod na status update pa ng Polymarket ang magpapakita kung gagawin ba nila ulit ang refund strategy na nagamit noong June.
