Polymarket telah mengonfirmasi bahwa penyerang membobol vendor pihak ketiga dan menggunakan akses tersebut untuk menyuntikkan kode berbahaya ke frontend platform, menyebabkan serangan phishing yang menguras sekitar $2,94 juta dari pengguna.
Polymarket mengungkapkan di X bahwa mereka telah menghapus dependensi yang terpengaruh, menahan insiden tersebut, dan akan sepenuhnya mengganti rugi pengguna yang terkena dampak.
Analis blockchain Specter memperkirakan bahwa serangan tersebut menguras dana dari setidaknya 11 dompet setelah skrip berbahaya muncul di frontend platform.
Specter mengidentifikasi serangan itu sebagai kampanye phishing daripada eksploitasi protokol. Analis tersebut mengatakan skrip yang disuntikkan memungkinkan penyerang mencuri dana dari dompet yang terhubung setelah pengguna berinteraksi dengan antarmuka yang disusupi.
DefiLlama mencatat insiden tersebut sebagai pelanggaran keamanan kripto ke-89 yang dilaporkan pada kuartal kedua, menjadikannya total triwulanan tertinggi berdasarkan jumlah insiden dalam catatan platform.
DefiLlama juga melaporkan kerugian $74,9 juta dari 29 eksploitasi kripto selama Juni. Total tersebut melampaui $60,5 juta pada Mei tetapi tetap jauh di bawah $644 juta pada April.
Platform tersebut mencantumkan eksploitasi Humanity Protocol senilai $36 juta sebagai serangan terbesar di bulan Juni. Insiden besar lainnya termasuk eksploitasi $4,7 juta yang melibatkan bridge Secret Network, dua eksploitasi terpisah senilai $2,1 juta yang memengaruhi Aztec, dan eksploitasi bridge $1,7 juta di Taiko.
DefiLlama melaporkan bahwa kompromi kunci pribadi menyumbang 43% dari kerugian eksploitasi selama 30 hari terakhir. Eksploitasi bukti palsu mewakili 10% dari kerugian, sementara honeypot MEV terbalik menyumbang 8%.
Polymarket mengungkapkan insiden keamanan terpisah sekitar sebulan sebelumnya setelah penyerang mengeksploitasi kunci pribadi berusia enam tahun yang digunakan untuk operasi top up internal dan mencuri sekitar $600.000.
Peneliti keamanan, termasuk ZachXBT, PeckShield, dan Bubblemaps, awalnya menandai aktivitas mencurigakan yang melibatkan kontrak UMA CTF Adapter Polymarket di Polygon. Bubblemaps melaporkan bahwa penyerang menarik 5.000 POL setiap 30 detik sebelum memperkirakan total kerugian sekitar $600.000.
Kontributor protokol Polymarket Shantikiran Chanal kemudian mengaitkan insiden tersebut dengan dompet yang disusupi yang digunakan untuk operasi internal daripada kerentanan dalam kontrak atau infrastruktur inti platform.
Josh Stevens, wakil presiden teknik perusahaan, menyatakan pada saat itu bahwa dana pengguna dan kontrak pintar tetap aman dan semua izin yang terhubung ke kunci yang disusupi telah dicabut.
