Platform pasar prediksi berbasis blockchain terdesentralisasi terbesar, Polymarket, resmi membekukan seluruh aktivitas perdagangan dan menangguhkan transaksi relayer pada Kamis (29/10/2026) pukul 18:05 UTC (Jumat dini hari WIB). Langkah drastis ini diambil setelah insiden keamanan siber yang menyerang penyedia layanan pihak ketiga (third-party vendor) berhasil menyusup ke antarmuka pengguna, mengakibatkan terkurasnya saldo dompet pengguna dalam hitungan menit dengan taksiran kerugian mencapai $2,65 juta hingga $2,68 juta.
Dalam pemberitahuan insiden resminya, operator Polymarket mengklasifikasikan gangguan ini sebagai pemadaman sistem utama (major outage) yang memengaruhi antarmuka pasar dan Predictions Trading API atau central limit order book (CLOB). Untuk membendung penyebaran eksploitasi lebih lanjut, bursa segera dialihkan ke mode hanya batal (cancel-only mode). Pengguna hanya diizinkan membatalkan pesanan yang sedang aktif, sementara pengajuan pesanan baru maupun eksekusi transaksi beli dan jual dihentikan total sampai investigasi teknis tuntas.
Kronologi Pembobolan dan Penjualan Posisi Paksa Pengguna
Indikasi eksploitasi mulai terdeteksi secara masif di blockchain Polygon (Chain ID 137) sekitar pukul 17:05 UTC ketika sebuah alamat dompet penerima mencurigakan mulai mengalirkan saldo deposit pengguna secara beruntun. Dalam rentang waktu kurang dari satu jam, saldo di alamat penyerang membengkak dari $412.000 pada pukul 17:25 UTC menjadi $2,02 juta pada 17:50 UTC, sebelum akhirnya memuncak di angka $2,68 juta sekitar pukul 18:05 UTC. Analisis forensik on-chain mencatat dompet peretas telah menimbun sedikitnya 28,6 juta token POL yang dikonversi langsung dari saldo pengguna.
Sejumlah pengguna dan trader papan atas langsung menyuarakan kepanikan di media sosial setelah mendapati akun mereka terkuras tanpa otorisasi. Seorang trader anonim bernama Car mengungkapkan bahwa saldo akunnya senilai $800.000 lenyap seketika, sementara rekannya menderita kerugian hingga $600.000. Car menjelaskan bahwa seluruh portofolio kontrak taruhan miliknya dilego secara paksa di pasar sekunder sebelum dananya ditarik keluar. Padahal, ia mengklaim telah menerapkan protokol isolasi perangkat ketat antara aktivitas pribadi dan perdagangan kripto.
Modus Kompromi Frontend dan Penangguhan Relayer Jaringan
Penyelidikan awal komunitas keamanan Web3 mengarah pada dugaan kompromi antarmuka situs (frontend compromise) melalui penyusupan skrip berbahaya pada dependensi pihak ketiga. Tangkapan layar permintaan tanda tangan pesan (message signing) yang beredar menampilkan formulir tidak terverifikasi dengan label DepositWallet yang mengeksekusi panggilan fungsi ke Deposit Wallet Factory proxy. Pelaku memanfaatkan infrastruktur transaksi bersponsor milik jaringan relayer untuk mengeksekusi transfer kilat tanpa memerlukan konfirmasi biaya gas manual dari para pemilik akun yang sah.
Merespons temuan tersebut, tim pengembang Polymarket bertindak cepat dengan memutus integrasi relayer untuk menghentikan aliran penarikan liar. Manajemen Polymarket menegaskan bahwa prioritas utama saat ini adalah mengamankan sisa dana pengguna di kontrak pintar dan membersihkan dependensi eksternal yang terinfeksi. Hingga berita ini diturunkan, Polymarket belum menerbitkan jadwal resmi pemulihan perdagangan normal maupun kepastian program penggantian kerugian (reimbursement) bagi para korban terdampak pembobolan tersebut.
Preseden Serangan Serupa dan Tantangan Pengawasan Pasar Prediksi
Peristiwa peretasan ini menambah daftar panjang kerentanan rantai pasok perangkat lunak yang membayangi ekosistem pasar prediksi Web3. Pada Juni 2026 lalu, Polymarket sempat mengalami insiden serupa ketika vendor frontend eksternal disusupi skrip peretas yang menguras $2,9 juta hingga $3,1 juta dari belasan dompet pengguna, yang kala itu diselesaikan melalui komitmen ganti rugi penuh. Platform pasar prediksi lain seperti Predict.fun juga baru saja melaporkan eksploitasi senilai 400.000 USDT pada 27 Oktober akibat kompromi pada situs dokumentasi API mereka.
Insiden teranyar ini diprediksi akan memperberat posisi hukum Polymarket di tengah pengawasan ketat regulator global. Komisi Perdagangan Berjangka Komoditi Amerika Serikat (CFTC) diketahui tengah gencar meneliti kepatuhan yurisdiksi dan perlindungan konsumen pada platform kontrak event terdesentralisasi. Gangguan keamanan pada antarmuka internasional ini menjadi bukti nyata bahwa integrasi vendor pihak ketiga tetap menjadi celah terlemah dalam arsitektur keamanan DeFi, bahkan bagi platform dengan likuiditas miliaran dolar sekalipun.
Sumber: The Block
