Polymarket ha riaperto la sua borsa internazionale al trading il 29 ottobre 2026, dopo una breve chiusura imposta da uno script di monitoraggio di terze parti compromesso. La piattaforma ha interrotto gli ordini in entrata, sospeso le attività dei relayer e promesso ai clienti la restituzione dei fondi. La piattaforma statunitense separata dell'azienda non è stata interessata.

Uno script di monitoraggio che accedeva alle sessioni di trading attive

La società di cybersecurity Hudson Rock ha scoperto un payload dannoso di 15.187 byte incorporato nello script Real User Monitoring (RUM) di DebugBear. Gli script RUM sono uno strumento comune per le prestazioni dei siti web: gli operatori li incorporano affinché vengano eseguiti nel browser di ogni visitatore e misurino il caricamento delle pagine in condizioni reali. Il codice poteva accedere alle informazioni degli account salvate, identificare i client autorizzati utilizzati dai trader e tentare la vendita di posizioni o il trasferimento di token.

Il codice del sito di Polymarket ha successivamente mostrato che lo script di DebugBear era stato rimosso, a indicare che l'attacco ha sfruttato il codice in esecuzione sul sito web anziché un difetto negli smart contract della piattaforma. Hudson Rock ha pubblicato i suoi risultati in un rapporto sul suo blog InfoStealers.

Modalità cancel-only, poi trading di nuovo attivo entro le 15 ET

Polymarket ha posto la borsa internazionale in modalità cancel-only il 29 ottobre 2026. Il suo account di stato ha dichiarato che un fornitore era stato compromesso e che il caso era stato segnalato alle forze dell'ordine britanniche.

Alle 15 circa ET dello stesso giorno, il trading è ripreso sulla borsa. L'azienda ha inoltre annunciato una politica di rimborso. Secondo il rapporto di CNBC, i clienti che hanno perso meno di 10.000 dollari dovrebbero ricevere i rimborsi entro il 30 ottobre 2026. I clienti che hanno perso di più devono prima firmare un modulo di rilascio. Sebbene Polymarket abbia comunicato i suoi piani di rimborso, non ha confermato che sia stato emesso alcun rimborso.

DebugBear ha chiesto ai clienti di rimuovere il suo codice

DebugBear ha anch'essa riconosciuto il problema di sicurezza. Il 29 ottobre 2026, l'azienda ha invitato i clienti a rimuovere il suo codice di monitoraggio mentre specialisti della risposta agli incidenti indagavano.

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

L'avvertenza ha evidenziato una preoccupazione più ampia: gli script di terze parti possono essere eseguiti all'interno di siti web legittimi e, se compromessi, possono accedere alle sessioni browser attive degli utenti. Poiché l'avviso riguardava qualsiasi sito web con l'embed RUM, ha anche sottolineato come un singolo script di fornitore compromesso possa esporre simultaneamente molti siti non correlati.

Stime preliminari delle perdite contro perdite confermate

I danni finanziari restano per ora poco chiari. Betting Intelligence e Polysights hanno tracciato almeno 2,7 milioni di dollari in prelievi riguardanti 710 wallet il 29 ottobre 2026, ha riferito CNBC. Nel frattempo, Hudson Rock ha identificato circa 2,19 milioni di dollari su un indirizzo di destinazione di fallback, anche se tale saldo non stabilisce quanto sia stato rubato. Polymarket deve ancora confermare le perdite totali.

Due precedenti incidenti con fornitori, senza una causa comune

Non si trattava del primo problema di sicurezza legato ai fornitori per Polymarket. Nel giugno 2026, Halborn e TechCrunch hanno riferito di un attacco con script dannoso che avrebbe prosciugato circa 3 milioni di dollari da almeno 11 wallet. Anche allora Polymarket promise rimborsi.

In precedenza, nel dicembre 2025, una violazione separata di un fornitore di autenticazione aveva interessato gli account degli utenti. Sia Cryptopolitan che CertiK hanno documentato l'incidente.

Tutti e tre i casi hanno coinvolto fornitori esterni. Tuttavia, non ci sono prove che colleghino gli episodi allo stesso attaccante o alla stessa causa sottostante.

Cosa significa per il settore l'esposizione ripetuta ai fornitori

Gli incidenti ripetuti arrivano mentre i mercati predittivi attirano un'attività di trading crescente. Un rapporto basato su Artemis ha registrato 76,46 miliardi di dollari di volume di trading sui mercati monitorati a settembre 2026, di cui 13,12 miliardi attribuibili a Polymarket. Queste cifre rappresentano attività di trading, non asset detenuti.

Questa crescita mette a fuoco le preoccupazioni per la sicurezza. CertiK avverte che le piattaforme che combinano servizi web tradizionali con tecnologia blockchain possono comunque presentare vulnerabilità centralizzate. Tali rischi potrebbero anche scoraggiare gli investitori istituzionali. Secondo Jefferies, gli hedge fund mostrano interesse ma restano cauti, con preoccupazioni su liquidità, conformità e reputazione che continuano a trattenerli.

Nel frattempo, KPMG evidenzia le diverse responsabilità di fornitori, broker, borse e camere di compensazione. Le borse regolamentate negli Stati Uniti devono soddisfare requisiti di sorveglianza, salvaguardia dei sistemi e protezione dei partecipanti. Tuttavia, tali regole non si applicano automaticamente a Polymarket International.

Per Polymarket, il ripristino del trading è solo parte della sfida. La prova più grande è se sappia gestire i rischi derivanti da fornitori esterni e riconquistare la fiducia degli utenti. Gli indicatori a breve termine includono se i rimborsi sotto i 10.000 dollari arrivano entro la data annunciata del 30 ottobre, come si sviluppa il processo dei moduli di rilascio per importi superiori, se l'azienda conferma una cifra totale delle perdite e cosa produciranno la segnalazione alle forze dell'ordine britanniche e le indagini in corso.