Polymarket heeft de handel op zijn internationale platform hervat na een security-incident bij een externe dienstverlener op 29 oktober. Het bedrijf zegt dat handelaren die door de inbreuk geld verloren, volledig worden gecompenseerd. Het blockchainanalysebedrijf Bubblemaps schat dat er circa $2,7 miljoen is gestolen bij ongeveer 700 gebruikers, al heeft Polymarket dat cijfer niet bevestigd.

Onderzoekers hebben de aanval in verband gebracht met kwaadaardige code die was ingebouwd in een dienst voor het monitoren van websiteprestaties. Polymarket US, het federaal gereguleerde platform van het bedrijf voor Amerikaanse gebruikers, is niet getroffen.

Hoe de handelspauze verliep

De reactie van Polymarket begon met een overstap naar de cancel-only-modus, waarmee klanten bestaande orders konden intrekken terwijl nieuwe transacties niet meer werden verwerkt. Het bedrijf pauzeerde ook de dienst die transacties namens gebruikers indient, voordat het bekendmaakte dat een van zijn externe leveranciers was gecompromitteerd.

De handel bleef enkele uren gepauzeerd terwijl het bedrijf onderzoek deed. Een latere update van het account Polymarket Traders op X bevestigde dat de handel volledig weer online was.

Volgens het bedrijf is de gecompromitteerde leverancier gevestigd in het Verenigd Koninkrijk. Polymarket zei dat zijn eigen website niet was ingebroken en dat de Britse politie is ingelicht. Het incident laat zien hoe de dagelijkse bedrijfsvoering van een platform kan worden verstoord via een leverancier, zelfs als de eigen infrastructuur onaangetast blijft.

De hack trof Polymarket US niet, het nieuwere platform dat functioneert als een federaal gereguleerde beurs voor mensen in de Verenigde Staten. Het vlaggenschipplatform voor de internationale markt is gebaseerd op cryptocurrency en is verboden in de Verenigde Staten en verschillende andere landen.

Het spoor van het gestolen geld

Bubblemaps volgde geld van honderden depositwallets naar een adres dat volgens het bedrijf aan de aanvaller toebehoort. Het diagram toonde 712 depositwallets en ongeveer $2,71 miljoen die via de hoofdroute stroomde.

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

Het bedrijf zei dat het gestolen geld is omgezet in POL, de native token van Polygon, en naar meerdere adressen is gestuurd. Het volgde ook overboekingen naar Ethereum.

Hoe de aanval werkte

Onderzoekers brachten verdachte code in verband met een dienst voor het monitoren van websiteprestaties. Deze tools helpen bedrijven normaal gesproken te zien hoe hun websites laden en functioneren. Inbreuken die via de code van een leverancier binnenkomen in plaats van via de eigen systemen van een bedrijf, worden in de sector doorgaans supply-chain-aanvallen genoemd, en ingebouwde third-party scripts zijn al lang een bekend aanvalsvector voor webplatforms. Volgens de onderzoekers kreeg de kwaadaardige code toegang tot de handelssessies van gebruikers en startte handelingen die assets uit hun accounts verplaatsten. De exacte aanvalsmethode wordt nog onderzocht.

Op X zeiden verschillende prominente handelaren geld te hebben verloren. Polymarket wilde tegenover WIRED niet zeggen hoeveel handelaren zijn getroffen of hoeveel er verloren is gegaan.

Eerdere incidenten en een financieringsronde van $1 miljard

Dit is niet de eerste inbreuk op het platform. In juni 2026 leidde een ander incident tot meer dan $2 miljoen aan verliezen voor getroffen handelaren. Volgens de schatting van Bubblemaps zou het laatste incident daarboven uitkomen. Het bedrijf heeft sinds de lancering in 2020 te maken gehad met controverse, waaronder vermeende handel met voorkennis die tot arrestaties leidde; de verdachten in die zaken hebben zich niet schuldig bekend. Het platform stelt gebruikers in staat te wedden op de uitkomsten van echte gebeurtenissen.

In augustus 2026 haalde Polymarket $1 miljard op in een financieringsronde onder leiding van 1789 Capital, waar Donald Trump Jr. partner is. Het bedrijf wordt nu gewaardeerd op $21 miljard.

Terugbetaling beloofd, details volgen nog

Polymarket heeft volledige terugbetaling beloofd, maar heeft geen tijdlijn of claimprocedure gedeeld. Gebruikers wachten op details over welke accounts in aanmerking komen, hoe verliezen worden berekend en wanneer het geld wordt terugbetaald. De open vragen — de exacte aanvalsmethode, het uiteindelijke verliestotaal en de mechanismen van compensatie — liggen nu bij het lopende onderzoek van Polymarket; ook de Britse politie is ingelicht. Een volledige analyse van het incident wordt van het team van Polymarket verwacht.

Bron: Blockonomi