Polymarket ha ripristinato il trading sulla sua piattaforma internazionale a seguito di un incidente di sicurezza presso un fornitore esterno il 29 ottobre, dichiarando che i trader che hanno perso denaro nella violazione saranno completamente rimborsati. La società di analisi blockchain Bubblemaps stima che circa 2,7 milioni di dollari siano stati sottratti a circa 700 utenti, sebbene Polymarket non abbia confermato tale cifra.

I ricercatori hanno collegato l'attacco a codice dannoso incorporato in un servizio di monitoraggio delle prestazioni di siti web. Polymarket US, la piattaforma dell'azienda regolamentata a livello federale per gli utenti statunitensi, non è stata interessata.

Come si è svolta la pausa del trading

La risposta di Polymarket è iniziata con il passaggio alla modalità solo annullamento, che ha permesso ai clienti di ritirare gli ordini esistenti mentre le nuove operazioni smettevano di essere elaborate. L'azienda ha inoltre sospeso il servizio che invia transazioni per conto degli utenti, prima di rivelare che uno dei suoi fornitori di terze parti era stato compromesso.

Il trading è rimasto sospeso per diverse ore mentre l'azienda effettuava le indagini. Un successivo aggiornamento dall'account Polymarket Traders su X ha confermato che il trading era completamente di nuovo online.

Secondo l'azienda, il fornitore compromesso ha sede nel Regno Unito. Polymarket ha dichiarato che il proprio sito web non è stato violato e che le forze dell'ordine britanniche sono state informate. L'episodio mostra come le operazioni quotidiane di una piattaforma possano essere interrotte attraverso un fornitore anche quando la sua infrastruttura interna rimane intatta.

L'hack non ha interessato Polymarket US, la piattaforma più recente che opera come exchange regolamentato a livello federale per gli utenti negli Stati Uniti. La piattaforma internazionale di punta è basata su criptovalute ed è vietata negli Stati Uniti e in diversi altri paesi.

Tracciamento dei fondi rubati

Bubblemaps ha tracciato i fondi da centinaia di wallet di deposito verso un indirizzo identificato come appartenente all'attaccante. Il suo diagramma ha mostrato 712 wallet di deposito e circa 2,71 milioni di dollari in movimento attraverso il percorso principale.

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

La società ha dichiarato che i fondi rubati sono stati convertiti in POL, il token nativo di Polygon, e inviati a diversi indirizzi. Ha inoltre tracciato trasferimenti verso Ethereum.

Come ha funzionato l'attacco

I ricercatori hanno collegato il codice sospetto a un servizio di monitoraggio delle prestazioni di siti web. Questi strumenti aiutano normalmente le aziende a monitorare come i loro siti web si caricano e funzionano. Le violazioni che arrivano attraverso il codice di un fornitore anziché attraverso i sistemi interni di un'azienda sono comunemente note nel settore come attacchi alla supply chain, e gli script di terze parti incorporati sono da tempo un noto vettore di attacco per le piattaforme web. Secondo i ricercatori, il codice dannoso ha avuto accesso alle sessioni di trading degli utenti e ha avviato azioni che hanno spostato gli asset fuori dai loro account. Il metodo esatto dell'attacco è ancora sotto indagine.

Su X, diversi trader di rilievo hanno dichiarato di aver perso denaro. Polymarket ha rifiutato di comunicare a WIRED quanti trader sono stati coinvolti e quanto è stato perso.

Incidenti precedenti e un round di finanziamento da 1 miliardo di dollari

Non è la prima violazione per la piattaforma. A giugno 2026, un altro incidente aveva causato perdite di oltre 2 milioni di dollari per i trader coinvolti. Secondo la stima di Bubblemaps, l'ultimo incidente supererebbe tale totale. L'azienda ha affrontato polemiche dal suo lancio nel 2020, inclusi presunti casi di insider trading che hanno portato ad arresti; gli imputati in quei casi si sono dichiarati non colpevoli. La piattaforma consente agli utenti di fare trading sugli esiti di eventi del mondo reale.

Ad agosto 2026, Polymarket ha raccolto 1 miliardo di dollari in un round di finanziamento guidato da 1789 Capital, dove Donald Trump Jr. è partner. L'azienda è ora valutata 21 miliardi di dollari.

Rimborsi promessi, dettagli in attesa

Polymarket ha promesso il rimborso completo ma non ha condiviso una tempistica o una procedura di richiesta. Gli utenti attendono dettagli su quali account abbiano diritto al rimborso, come le perdite saranno calcolate e quando i fondi saranno restituiti. Le questioni aperte — il metodo esatto dell'attacco, il conteggio finale delle perdite e i meccanismi di rimborso — ora dipendono dall'indagine in corso di Polymarket, con le forze dell'ordine britanniche anch'esse informate. Un'analisi completa dell'incidente è attesa dal team di Polymarket.

Fonte: Blockonomi