Polymarket opende zijn internationale exchange opnieuw voor handel op 29 oktober 2026, na een korte stillegging die werd veroorzaakt door een gecompromitteerd monitoringscript van een derde partij. Het platform stopte inkomende orders, hield de activiteiten van relayers aan en beloofde klanten hun geld terug. Het afzonderlijke Amerikaanse platform van het bedrijf was niet getroffen.

Een monitoringscript dat toegang had tot live handelssessies

Cybersecuritybedrijf Hudson Rock ontdekte een kwaadaardige payload van 15.187 bytes die was ingebed in het Real User Monitoring-script (RUM) van DebugBear. RUM-scripts zijn een veelgebruikt hulpmiddel voor websiteprestaties: sitebeheerders embedden ze zodat ze in de browser van elke bezoeker draaien en meten hoe pagina's laden onder echte omstandigheden. De code kon toegang krijgen tot opgeslagen accountgegevens, geautoriseerde clients identificeren die door handelaren worden gebruikt, en proberen posities te verkopen of tokens over te dragen.

De websitecode van Polymarket toonde vervolgens aan dat het DebugBear-script was verwijderd, wat erop wijst dat de aanval code misbruikte die op de website draaide in plaats van een zwakte in de smart contracts van het platform. Hudson Rock publiceerde zijn bevindingen in een rapport op zijn InfoStealers-blog.

Modus 'alleen annuleren', handel weer opgestart rond 15:00 uur ET

Polymarket zette de internationale exchange op 29 oktober 2026 in de modus 'alleen annuleren'. De statusaccount van het bedrijf meldde dat een provider was gecompromitteerd en dat de zaak was doorverwezen naar de Britse politie.

Rond 15:00 uur ET diezelfde dag begon de handel weer op de exchange. Het bedrijf kondigde ook een terugbetaling beleid aan. Volgens het rapport van CNBC wordt verwacht dat klanten die minder dan $10.000 verloren hun terugbetaling uiterlijk 30 oktober 2026 ontvangen. Klanten die meer verloren, moeten eerst een vrijwaringsverklaring ondertekenen. Hoewel Polymarket zijn terugbetalingsplannen heeft gecommuniceerd, heeft het niet bevestigd dat er al terugbetalingen zijn uitgevoerd.

DebugBear vroeg klanten zijn code te verwijderen

DebugBear erkende ook het beveiligingsprobleem. Op 29 oktober 2026 riep het bedrijf klanten op om zijn monitoringcode te verwijderen terwijl gespecialiseerde responders het onderzoek uitvoerden.

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

De waarschuwing benadrukte een bredere zorg: scripts van derden kunnen draaien binnen legitieme websites en, indien gecompromitteerd, toegang krijgen tot actieve browsersessies van gebruikers. Omdat de waarschuwing betrekking had op elke website die de RUM-embed uitvoerde, onderstreepte het ook hoe één gecompromitteerd vendor-script tegelijkertijd vele ongerelateerde sites kan blootstellen.

Voorlopige verliesramingen versus bevestigde verliezen

De financiële schade is voorlopig nog onduidelijk. Betting Intelligence en Polysights spoorden ten minste $2,7 miljoen aan opnames op, betrokken bij 710 wallets op 29 oktober 2026, meldde CNBC. Ondertussen identificeerde Hudson Rock ongeveer $2,19 miljoen op een fallback-ontvangeradres, hoewel dat saldo niet aantoont hoeveel er is gestolen. Polymarket heeft de totale verliezen nog niet bevestigd.

Twee eerdere vendorfalen, geen gemeenschappelijke oorzaak

Dit was niet het eerste vendorgerelateerde beveiligingsprobleem van Polymarket. In juni 2026 meldden Halborn en TechCrunch een aanval met een kwaadaardig script die naar verluidt ongeveer $3 miljoen wegnam van ten minste 11 wallets. Ook toen beloofde Polymarket terugbetalingen.

Eerder, in december 2025, trof een aparte inbreuk bij een authenticatieprovider de accounts van gebruikers. Zowel Cryptopolitan als CertiK documenteerden het incident.

Alle drie de gevallen betroffen externe providers. Er is echter geen bewijs dat ze verbindt aan dezelfde aanvaller of onderliggende oorzaak.

Wat herhaalde blootstelling aan vendors betekent voor de sector

De herhaalde incidenten doen zich voor nu voorspellingsmarkten meer handelsactiviteit aantrekken. Een op Artemis gebaseerd rapport registreerde $76,46 miljard aan handelsvolume over gevolgde markten in september 2026, waarvan Polymarket $13,12 miljard voor zijn rekening nam. Deze cijfers vertegenwoordigen handelsactiviteit, geen aangehouden activa.

Die groei brengt beveiligingszorgen scherper in beeld. CertiK waarschuwt dat platforms die traditionele webservices combineren met blockchaintechnologie nog steeds gecentraliseerde kwetsbaarheden kunnen hebben. Dergelijke risico's kunnen ook institutionele beleggers afschrikken. Volgens Jefferies tonen hedgefondsen interesse, maar blijven voorzichtig, waarbij zorgen over liquiditeit, compliance en reputatie hen blijven tegenhouden.

Ondertussen benadrukt KPMG de verschillende verantwoordelijkheden van vendors, brokers, exchanges en clearinghouses. In de VS gereguleerde exchanges moeten voldoen aan eisen voor toezicht, systeembescherming en deelnemersbescherming. Die regels gelden echter niet automatisch voor Polymarket International.

Voor Polymarket is het herstellen van de handel slechts een deel van de uitdaging. De grotere toets is of het de risico's van externe providers kan beheersen en het vertrouwen van gebruikers kan terugwinnen. Kortetermijnaandachtspunten zijn onder meer of terugbetalingen onder $10.000 uiterlijk de aangekondigde datum van 30 oktober arriveren, hoe het proces van vrijwaringsverklaringen voor grotere claims verloopt, of het bedrijf een totaal verliescijfer bevestigt, en wat de doorverwijzing naar de Britse politie en de lopende onderzoeken opleveren.