Compromittering van Polymarket via een leverancier: geïnjecteerd script voert circa 2,7 miljoen dollar af uit gebruikerswallets
Polymarket, de crypto-voorspelmarkt, heeft de handel kort stilgelegd nadat een kwaadaardig script dat via een gecompromitteerde externe leverancier was ingebracht begon fondsen uit de wallets van gebruikers af te voeren. On-chain monitoring door Bubblemaps zet de verliezen op circa 2,7 miljoen dollar bij ongeveer 700 gebruikers, cijfers die het bedrijf niet heeft bevestigd. De handel is inmiddels hervat, en Polymarket zegt dat getroffen gebruikers worden terugbetaald.
Een vertrouwd frontend werd vijandig
Volgens berichtgeving die bronnen van de Wall Street Journal en blockchain-beveiligingsonderzoekers aanhaalt, is een script dat door een leverancier van website-prestatiemonitoring werd geleverd zodanig aangepast dat het bezoekers met een actieve, ingelogde handelssessie opspoorde. Onderzoekers van Hudson Rock zeiden dat de code was gebouwd om posities te liquideren en de opbrengst naar een door aanvallers gecontroleerd adres te sturen dat in het script was ingebouwd. Een functionaris die door de Journal werd geciteerd, benoemde DebugBear, een Brits bedrijf in website-prestatiemonitoring als de betrokken leverancier; het bedrijf zei getroffen te zijn door een lopend security-incident en riep klanten op de embedcode te verwijderen. Die toeschrijving blijft een gerapporteerd vermoeden en geen bevestigde bevinding, al zegt Polymarket dat de eigen site niet is gecompromitteerd. De afvoer zelf is in kaart gebracht door Bubblemaps, waarvan de analisten schatten dat circa 2,7 miljoen dollar werd weggehaald uit zo'n 712 depositowallets voordat de stroom werd afgekapt. Het gestolen geld werd omgezet in POL, de native token van Polygon, en verspreid over een keten van adressen. Polymarket heeft de monitoringscijfers niet bevestigd, en hetzelfde on-chain werk wees uit dat een breed gedeelde claim van een persoonlijk verlies van 800.000 dollar niet hout sneed, omdat het opnamepatroon van die wallet afweek van dat van de andere slachtoffers.“We gaan dit goedmaken en betalen alle getroffen traders volledig terug.”Die belofte kwam terwijl de exchange het incident in fasen doorkwam: eerst een modus waarin openstaande orders konden worden ingetrokken maar geen nieuwe geplaatst konden worden, daarna een opschorting van de transactiedienst en ten slotte een volledige herstart van de handel. Polymarket heeft de zaak gemeld bij de politie in het Verenigd Koninkrijk, waar de leverancier gevestigd is, en zegt dat Polymarket US, het apart gereguleerde Amerikaanse platform, niet is getroffen.
Tweede compromittering via een leverancier dit jaar
Voor Polymarket is dit de tweede compromittering van 2026 die van een leverancier uitgaat in plaats van van de eigen infrastructuur. In juni meldde het bedrijf dat een externe leverancier was gecompromitteerd en een kwaadaardig script in het frontend had ingebracht, bij een deel van de gebruikers. Gestolen PUSD, het afwikkeltoken van Polymarket, werd via een bridge van Polygon naar Ethereum verplaatst en omgezet in zo'n 1.893 ETH, buit met een geschatte waarde van 2,94 miljoen dollar. Destijds trof de afvoer een veel kleinere groep, ergens tussen elf en vijftien accounts, maar de logica was dezelfde: code die via een vertrouwd kanaal binnenkomt en wordt uitgevoerd binnen de pagina's van een site waaraan gebruikers geen reden hadden te twijfelen. Een incident in mei, waarbij circa 700.000 dollar uit een interne top-upwallet werd afgevoerd via een gecompromitteerde privésleutel, valt buiten dat leverancierspatroon. Het wijst wel dezelfde kant op: de veiligheid van gebruikersgeld op een handelsplatform reikt veel verder dan het eigen perimeter van het platform.Waarom supply-chainaanvallen op het frontend zo goed werken
Een legitiem domein met jarenlange geschiedenis kan urenlang vijandige code leveren voordat iemand het doorheeft, en geen enkele phishingwaarschuwing gaat af, omdat er niets aan de pagina vals is. Het slotje, de bladwijzer, de correcte spelling van het adres zeggen nog steeds: vertrouw mij. Beide Polymarket-incidenten gebruikten precies dat vertrouwen als aanvalsoppervlak, en dat is wat deze aanvalsklasse onderscheidt van gewone phishing en het moeilijker maakt om in het moment te herkennen.- Houd alleen kleine saldi in browser-hotwallets en behandel ze als zakgeld, niet als spaargeld.
- Geef de voorkeur aan hardware wallets of wallet-veiligheidsmaatregelen die transacties simuleren en onverwachte goedkeuringen markeren voordat ze worden ondertekend.
- Controleer periodiek lopende token-goedkeuringen en trek terug wat niet meer nodig is.
- Als een platform een frontend- of leverancierscompromittering meldt: log uit, beëindig andere sessies en behandel alles wat in het incidentvenster is ondertekend als herzieningswaardig.