Platform pasar prediksi Polymarket mengatakan akan mengganti rugi secara penuh pengguna yang terdampak setelah vendor pihak ketiga yang dikompromikan menyuntikkan kode berbahaya ke frontend-nya. Hal ini membuat beberapa pengguna terpapar serangan phishing yang menurut peneliti keamanan blockchain telah menguras hampir $3 juta.
Dalam pernyataan yang diterbitkan pada 25 Juni, Polymarket mengatakan perusahaan menemukan vendor yang dikompromikan lebih awal di hari itu, menghapus dependensi yang terpengaruh, dan mengendalikan insiden tersebut. Perusahaan menambahkan bahwa mereka sedang menghubungi pengguna yang terdampak dan akan mengganti rugi mereka sepenuhnya.
Insiden tersebut tampaknya hanya mempengaruhi pengguna yang berinteraksi dengan frontend yang dikompromikan selama jendela serangan, bukan kontrak pintar (smart contract) dasar platform.
Kompromi pihak ketiga menyuntikkan skrip berbahaya
Menurut Polymarket, serangan berasal dari vendor pihak ketiga yang dikompromikan yang menyuntikkan skrip berbahaya ke bagian-bagian frontend platform.
Perusahaan mengatakan sejak itu mereka telah menghapus dependensi yang terpengaruh dan mengendalikan insiden tersebut. Namun, mereka belum mengungkapkan identitas vendor yang dikompromikan atau merilis laporan teknis pascakejadian yang rinci.
Platform menekankan bahwa mereka bekerja langsung dengan pengguna yang terdampak sambil melanjutkan penyelidikan.
Perusahaan keamanan perkirakan kerugian hampir $3 juta
Perusahaan keamanan blockchain PeckShield melaporkan bahwa insiden tersebut tampaknya merupakan kampanye phishing yang menargetkan pengguna Polymarket.
Menurut temuan mereka, penyerang menguras sekitar $3 juta PUSD dari lebih dari 11 dompet korban sebelum membridge dana yang dicuri dari Polygon ke Ethereum.
Para peneliti mengatakan penyerang kemudian menukar hasilnya menjadi sekitar 1,893 ETH, mengkonsolidasikan aset ke dalam alamat Ethereum yang dipantau.
Polymarket belum mengonfirmasi secara publik perkiraan kerugian atau jumlah dompet yang terdampak.
Platform janjikan penggantian rugi penuh
Tidak seperti banyak insiden phishing yang membebankan kerugian pada tanggung jawab pengguna, Polymarket mengatakan berniat mengganti rugi semua orang yang terdampak oleh serangan tersebut.
Perusahaan mengatakan mereka menghubungi pengguna yang terdampak secara langsung sambil melanjutkan penyelidikan terhadap kompromi tersebut.
Belum ada jadwal yang diberikan baik untuk proses penggantian rugi maupun publikasi laporan insiden lengkap.
Ringkasan Akhir
- Polymarket mengatakan vendor pihak ketiga yang dikompromikan menyuntikkan kode berbahaya ke frontend-nya dan telah berjanji akan mengganti rugi pengguna yang terdampak.
- Peneliti keamanan memperkirakan kampanye phishing mencuri sekitar $3 juta sebelum dana tersebut dibridge ke Ethereum dan dikonversi menjadi ETH.
