Polymarket, Cuma günü yaklaşık 3 milyon dolarlık bir kaybın meydana geldiğini doğruladı. Bu kayıp, platformun web sitesine kötü niyetli bir kod enjekte eden bir üçüncü taraf satıcıdan kaynaklandı. Polymarket, ihlali içerdiğini ve etkilenen kullanıcıların tam olarak geri ödenmesini taahhüt etti.
Polymarket'in resmi hesabından yapılan açıklamada, "Bu sabah, bir üçüncü taraf satıcının tehlikeye girdiğini ve bazı kullanıcılar için ön uçımıza kötü niyetli bir komut dosyası enjekte ettiğini keşfettik. Bunu içerledik ve etkilenen bağımlılığı kaldırdık. Etkilenen kullanıcılarla temas kuruyor ve onları tam olarak geri ödüyoruz." denildi.
Bloklama güvenliği firması PeckShield, yaklaşık 3 milyon dolarlık pUSD'nin (Polymarket'in USDC destekli ticaret stablecoin'i) çalındığını tahmin etti. Bir blok zinciri analisti, en az 11 kurban hesabından kaybın gerçekleştiğini doğruladı. Saldırgan, çalınan fonları Polygon'dan Ethereum'a köprüledi ve yaklaşık 1.893 ETH'ye çevirdi. Zincir içi analiz firması Bubblemaps, toplamda fewer 15 hesabın etkilendiğini заключildi.
Saldırı, Polymarket'in core akıllı sözleşmelerini veya arka uç sunucularını etkilemedi. Bunun yerine, saldırgan Polymarket'in web ön uç tarafından yüklenen bir üçüncü taraf yazılım bağımlılığını tehlikeye düşürdü. Kullanıcılar, etkilenen sitede cüzdanlarını bağladıklarında, bir gizli komut dosyası transaction-onay istemlerini tetikledi ve fonları saldırganın kontrolündeki cüzdanlara yönlendirdi. Polymarket, hangi satıcının ihlal edildiğini kamuoyuna açıklamadı.
Saldırı vektörü, kripto para birimlerinde şimdi belgelenen bir modèle izliyor. Aralık 2023'te, bir saldırgan eski bir Ledger çalışanın npm yayınlama kimlik bilgilerini ele geçirdi ve över 100 DeFi ön uç tarafından yüklenen `@ledgerhq/connect-kit` adlı bir JavaScript kütüphanesinin kötü niyetli sürümlerini yayınladı. Bu tedarik zinciri ihlali, bir yama canlıya alındıktan sonra kullanıcı fonlarını boşalttı. Polymarket'in ihlali, aynı mantığı izliyor: protokol katmanı intact kaldı, ancak web arayüzünün teslimat mekanizması kullanıcılara karşı döndü.
İki Ay İçinde İkinci İhlal
Polymarket, yaklaşık 9 milyar dolar değerinde bir platform, yalnızca Mart 2026'da 25,7 milyar dolarlık bir ticaret hacmine sahip. Aylık küresel tahmin pazarı hacmi, TRM Labs araştırmasına göre yaklaşık 21 milyar dolara ulaştı.
Cuma günkü ihlal, platformun son aylarda ikinci rapor edilen güvenlik ihlali. Polymarket, etkilenen kullanıcıların tam olarak geri ödenmesini taahhüt etti ve böylece hiçbir etkilenen kullanıcının net bir kayba uğramamasını sağladı.
Düzenleyici Arka Plan
İhlal, CFTC'nin Polymarket'i geniş bir soruşturma altına aldığına ilişkin ayrı raporlarla birlikte geldi. The Defiant, CFTC başkanına bir soruşturma olup olmadığını sordu. WSJ araştırması, yaratıcı videolarda 1,9 milyon dolarlık apparent sahte kazançlar buldu.
Polymarket, Kasım 2025'te CFTC'den ABD pazarına yeniden girmesine izin veren bir onay aldı ve Aralık 2025'te bu onay kapsamında bir düzenlenmiş uygulama başlattı. The Defiant, Zuckerberg'in Meta'ya bir yarışma tahmin pazarı uygulaması codenamed Arena inşa etmesini emrettiğini ve Polymarket ve Kalshi ile potansiyel ortaklıkları keşfetmesini istediğini rapor etti.
CFTC soruşturması devam ediyor ve bir zaman çizelgesi açıklanmadı. Polymarket, etkilenen kullanıcıların ne zaman geri ödeneceğini açıklamadı.
