Polymarket, dün akşam durdurduğu uluslararası platformda işlemi yaklaşık bir saat sonra geri açtı ve etkilenen tüm yatırımcılara tam geri ödeme vaat etti. Sektör kaynaklarına göre 700'den fazla hesaptan en az 2,7 milyon dolar çekildi; olayın kaynağı web performans şirketi DebugBear'ın ele geçirilmesi — şirket, RUM ürünü kullanan müşterilerine kodu sitelerinden kaldırmaları çağrısı yaptı.
Tahmin piyasası Polymarket, dün akşam yaşanan cüzdan boşaltma olayının ardından uluslararası platformunda işlemi durdurmuş, olayı inceleyip düzelttikten sonra yaklaşık bir saat sonra işlemi yeniden başlattı. Şirket, ‘Bu hatayı düzelttik ve etkilenen tüm yatırımcıları eksiksiz telafi edeceğiz’ mesajıyla durumu kapattığını duyurdu ve olayı Birleşik Krallık’taki kolluk kuvvetlerine bildirdiğini teyit etti. ABD’deki Polymarket US platformu olaydan etkilenmedi.
Ölçek de netleşmeye başladı: Sektör kaynaklarına göre uluslararası platformda 700’den fazla kullanıcı hesabından yetkisiz çekim rapor edildi ve toplam kayıp en az 2,7 milyon dolara ulaşıyor. Şirket, telafi mekanizmasının nasıl işleyeceğine ve hangi hesapların etkilendiğine dair ayrıntıyı henüz açıklamadı.
Olayın kaynağındaki DebugBear gerçeği artık şirketin kendisinden geldi: Web sitesi performans izleme ve hata ayıklama hizmeti veren Birleşik Krallık merkezli DebugBear, X hesabından ‘devam eden bir güvenlik olayından etkilendiğini’ duyurdu ve gerçek kullanıcı izleme (RUM) ürününü kullanan müşterilerine gömülü kodu sitelerinden kaldırmaları çağrısında bulundu. Polymarket kendi açıklamasında sağlayıcının adını vermedi; adı, kaynaklara dayanan haberlerde ve Hudson Rock’un betik analizinde DebugBear olarak belirlendi. DebugBear’ın kendi sitesi de duyuru sırasında erişilemez durumdaydı.
Teknik resim, araştırmacıların dün akşam çizdiği tabloyu doğruluyor: Polymarket’in uluslararası sitesi, DebugBear’ın performans ölçüm betiğini yüklüyordu; ele geçirilen bu betik, oturum açmış kullanıcının işlem seansını bulup pozisyonlarını satıyor ve parayı platformun kendi çekim sistemiyle şüpheli cüzdana gönderiyordu — ne şifre ne kurtarma ifadesi gerekiyordu. Sosyal medyada yayılan özet, olayı ‘binanın güvenliği sağlam ama temizlik şirketinin tüm ofislerin anahtarı var; birisi temizlikçi kılığında içeri girdi’ benzetmesiyle anlatıyor. Block zincir verisine göre şüpheli cüzdanda dün akşam itibarıyla yaklaşık 2,65 milyon dolarlık POL vardı.
Vaka, bu haftaki tedarikçi zinciri ihlalleri serisinin (Coinbase/Amplitude, Bithumb/Dawoffice) üçüncü halkası olarak dikkat çekiyor: Bu kez ihlal, kripto platformının değil, platformun sitesine üçüncü taraf betik enjekte eden sıradan bir web ölçüm servisinin ele geçirilmesinden geldi. DebugBear’ın RUM betisi kaç sitede daha çalışıyordu ve diğer müşterileri etkilenip etkilenmediği henüz bilinmiyor — Hudson Rock, daha geniş bir ihlal tespit edemedi. Polymarket açısından ise tablo net: Bu yılın üçüncü güvenlik olayı, ‘tam telafi’ vaadiyle kapatıldı ama üçüncü taraf betiklerine duyulan güvenin maliyeti bir kez daha ortaya çıktı.