Tahmin piyasası Polymarket, kullanıcı hesaplarından izinsiz varlık çekildiği bildirimlerinin ardından borsayı 'yalnızca iptal' moduna aldı ve relayer işlemlerini durdurdu. Şirket, bir üçüncü taraf sağlayıcının ele geçirildiğini, olayın kolluk kuvvetlerine bildirildiğini ve etkilenenlerin telafi edileceğini duyurdu; şüpheli cüzdanda 2,65 milyon dolarlık varlık izleniyor.
Tahmin piyasası Polymarket’te akşam saatlerinde ciddi bir güvenlik olayı patlak verdi: Kullanıcılar, hesaplarından izinleri olmadan varlık çekildiğini bildirmeye başladı. Platform, durum sayfasında trading API’de ‘büyük kesinti’ duyurdu, borsayı yalnızca iptal moduna aldı — yani mevcut emirler iptal edilebiliyor ama yeni emir ve işlem işlenmiyor — ve kullanıcıların imzalı işlemlerini blok zincire gönderen relayer eylemlerini de durdurdu.
Blok zincir analizi platformu Arkham’ın verilerine göre, saldırgan olduğundan şüphelenilen bir cüzdan adresi, Relay adlı zincirler-arası takas hizmeti üzerinden bridged USDC’den POL’a yapılan çok sayıda takasın ardından yaklaşık 2,65 milyon dolar değerinde POL tutuyor; fonlar daha sonra farklı adreslere dağıtıldı. Sosyal medyada bir kullanıcı, tek seferde 800 bin dolarının çekildiğini, bir tanıdığının ise yaklaşık 600 bin dolar kaybettiğini öne sürerek ‘Hesabınızı kilitleyin, siteyle etkileşime girmeyin’ uyarısı yaptı — bu rakamlar henüz bağımsız doğrulanmış kullanıcı beyanları.
Şirket kısa süre sonra X hesabından olayın kaynağını bulduğunu ve düzelttiğini duyurdu: ‘Uluslararası platformumuzu etkileyen sorunu tespit ettik ve düzelttik. Üçüncü taraf sağlayıcılarımızdan biri ele geçirildi ve olayı ilgili kolluk kuvvetlerine bildirdik. Etkilenen herkes zararı telafi edilecek.’
Olayın teknik kökenine dair en somut ipucu siber güvenlik firması Hudson Rock’tan geldi: Araştırmacılar, web performans izleme hizmeti DebugBear’den yüklenen bir betiğin, oturum açmış kullanıcının işlem seansını arayan ve pozisyonlarını satıp varlıkları aktarmaya çalışan cüzdan boşaltma kodu içerdiğini söyledi. Firmaya göre şüpheli cüzdan adresi betiğe ‘yedek alıcı’ olarak doğrudan gömülmüş durumda; Polymarket’in üretim site kodu da betiğin kaldırıldığını kaydediyor. Hudson Rock, ele geçirmenin nasıl başladığını ve kaç kullanıcının etkilendiğini henüz tespit edemediğini belirtiyor.
Olay, Polymarket için bu yıl üçüncü güvenlik kırılması: Mayıs’ta bir özel anahtar ele geçirilmesi iç telafi cüzdanından yaklaşık 700 bin dolar götürmüş, bir ay sonra da ele geçirilen bir üçüncü taraf satıcı aracılığıyla siteye kötücüll kod enjekte edilerek 15’ten az hesaptanyaklaşık 3 milyon dolar çalınmıştı. Bu kez de darbe yine tedarikçi zincirinden geldi — Coinbase/Amplitude ve Bithumb/Dawoffice örneklerinin ardından, kripto sektöründe üçüncü taraf betik ve sağlayıcılarının oluşturduğu saldırı yüzeyi bir kez daha görünür oldu.
Hikâye gelişiyor: Şüpheli cüzdan son veriye göre beş dakikadır hareketsiz, platform tetkik sürerken yalnızca iptal modunda çalışıyor. Kullanıcılar için acil tavsiyeyi platformun kendisi de destekliyor: Şüpheli durumları resmî kanallardan bildirmek ve siteyle gereksiz etkileşimden kaçınmak.