Polymarket, una delle maggiori piattaforme di mercati predittivi decentralizzati, ha sospeso tutto il trading il 29 ottobre 2026, dopo un exploit segnalato che avrebbe drenato circa 2,65 milioni di dollari dalla piattaforma. L'azienda ha attribuito l'incidente a un fornitore terzo compromesso, e non a una violazione diretta dei propri smart contract.

La piattaforma passa in modalità cancel-only dopo la segnalazione dell'exploit

Subito dopo la segnalazione dell'exploit, Polymarket ha trasferito la piattaforma in modalità cancel-only, uno stato in cui gli utenti possono cancellare le posizioni aperte ma non possono effettuare nuove scommesse o aggiungere liquidità. La pausa operativa è stata la risposta di contenimento immediata della piattaforma, secondo la copertura dell'incidente di The Block.

Per i lettori meno familiari con i mercati predittivi, la meccanica di questo stato è rilevante: queste piattaforme dipendono da un trading continuo su due lati per riflettere le probabilità degli eventi in corso, quindi una condizione cancel-only di fatto blocca i prezzi all'ultima valutazione delle posizioni aperte, senza consentire al mercato di aggiornarsi allo sviluppo degli eventi.

La cifra dichiarata di 2,65 milioni di dollari riflette l'entità dei fondi presumibilmente spostati durante l'exploit. Al momento della redazione di questo articolo non era stato confermato pubblicamente se tali fondi appartenessero alla tesoreria della piattaforma, ai singoli utenti o ai fornitori di liquidità.

Questa vulnerabilità di sicurezza aggiunge una dimensione reputazionale a un'attività già sotto stretta osservazione. Polymarket è stata precedentemente oggetto di controlli normativi riguardo alla meccanica dei suoi mercati predittivi, comprese domande su come le regole dei mercati predittivi siano applicate da autorità di regolamentazione come la Commodity Futures Trading Commission statunitense (CFTC), l'agenzia federale che supervisiona i mercati dei derivati negli Stati Uniti.

L'azienda afferma che è stato compromesso un fornitore terzo, non i contratti principali

La spiegazione fornita da Polymarket individua in un fornitore terzo compromesso il punto di ingresso dell'exploit, e non i suoi smart contract o la sua infrastruttura principale. Questa distinzione è importante perché sposta la potenziale responsabilità e l'onere del recupero verso un fornitore esterno anziché verso il team di sviluppo di Polymarket.

La piattaforma non aveva reso pubblico il nome del fornitore interessato al momento della redazione di questo articolo. Anche la verifica indipendente dell'affermazione relativa alla compromissione del fornitore terzo era incompleta, e nessuna analisi forense on-chain che confermasse il vettore d'attacco era disponibile pubblicamente al momento della pubblicazione.

Le integrazioni di terze parti, inclusi oracoli, infrastrutture front-end e servizi bridge, sono state punti di ingresso di exploit in precedenti incidenti DeFi. Tali dipendenze vengono esaminate attentamente in queste situazioni, poiché i componenti off-chain spesso trasmettono o attivano azioni on-chain per conto di una piattaforma, rendendoli potenziali bersagli anche quando i contratti principali restano integri. Il meccanismo tecnico specifico in questo caso resta non confermato, e la versione di Polymarket dovrebbe essere considerata la posizione dichiarata della piattaforma anziché un riscontro verificato in modo indipendente.

Cosa significa la sospensione per gli utenti e i mercati aperti

Con la piattaforma in modalità cancel-only, tutti i mercati predittivi attivi sono congelati per nuove posizioni. Gli utenti con posizioni aperte su eventi in corso non possono aggiungere o aprire posizioni fino al ripristino formale del trading, e i mercati prossimi alla risoluzione affrontano incertezza sui tempi di regolamento.

La posta in gioco finanziaria di una sospensione prolungata è notevole. Polymarket ha recentemente ospitato mercati sulle decisioni sui tassi della Fed che hanno attratto liquidità significativa. I tempi del ripristino del trading e l'ambito di un eventuale programma di rimborso per gli utenti non erano stati annunciati al momento della pubblicazione.

L'incidente evidenzia inoltre un modello più ampio nel settore: man mano che le piattaforme crypto espandono le integrazioni di infrastrutture e si affidano a software finanziari di terze parti, le loro potenziali superfici di attacco sono cresciute negli ultimi mesi. Le piattaforme maggiori con dipendenze simili affrontano rischi confrontabili, un modello che questo evento rafforza.

Riepilogo dell'incidente e questioni aperte

• Importo dichiarato dell'exploit: 2,65 milioni di dollari, segnalato il 29 ottobre 2026
• Risposta della piattaforma: Polymarket è passata in modalità cancel-only, interrompendo ogni nuova attività di trading
• Attribuzione: Polymarket ha dichiarato che un fornitore terzo è stato compromesso; il fornitore non è stato reso pubblico e la verifica indipendente è in sospeso
• Questioni aperte: se i fondi degli utenti siano interessati, quale fornitore sia coinvolto e quando il trading riprenderà

Fino a quando Polymarket non pubblica un post-mortem dettagliato e identifica il fornitore interessato, gli utenti dovrebbero monitorare le comunicazioni ufficiali della piattaforma per i tempi di ripristino del trading e un eventuale piano di rimedio. Tali divulgazioni saranno gli indicatori chiave di come l'azienda intende affrontare l'incidente.

Disclaimer: Questo articolo ha finalità esclusivamente informative e non costituisce consulenza finanziaria o di investimento. I mercati delle criptovalute e degli asset digitali comportano rischi significativi. Effettuate sempre le vostre ricerche prima di prendere decisioni.