Polymarket-handelaar meldt diefstal van 800.000 dollar, Polymarket zwijgt nog
Polymarket-handelaar Car meldde donderdag op X dat 800.000 dollar uit het account is gestolen. Ook andere accounts zouden geraakt zijn. Polymarket heeft de melding nog niet bevestigd. Car raadt andere gebruikers aan de site voorlopig niet te gebruiken.
Polymarket is een voorspellingsmarkt: een site waar je met crypto geld inzet op de uitkomst van gebeurtenissen, zoals verkiezingen of sportwedstrijden. Car noemt zichzelf een van de grootste handelaren op het platform.
Volgens Car is ook een vriend getroffen, die 600.000 dollar zou zijn kwijtgeraakt. Alle openstaande weddenschappen in Car's eigen account zijn volgens de handelaar verkocht. Die bedragen zijn nog niet te controleren. Car heeft geen walletadressen of transacties gedeeld, en Polymarket heeft op het moment van schrijven niet op de meldingen gereageerd.
Handelaar vermoedt aanval via de website
Car schrijft na tien jaar in crypto heel voorzichtig te zijn. De handelaar downloadt naar eigen zeggen niets, klikt geen links aan, koppelt de wallet nergens aan en gebruikt aparte telefoons en laptops voor handel en privé.
Omdat meerdere gebruikers geraakt zijn, vermoedt Car een aanval op de frontend van Polymarket. De frontend is de website die je in je browser ziet. Als aanvallers daar code in stoppen, kan die code meekijken of transacties klaarzetten terwijl je gewoon inlogt op de echte site.
Leverancier DebugBear meldt beveiligingsincident
Kort na de melding van Car schreef het bedrijf DebugBear op X dat het getroffen is door een lopend beveiligingsincident. DebugBear levert een stukje code dat websites inbouwen om te meten hoe snel hun pagina's laden bij bezoekers. Het bedrijf vraagt klanten die code van hun site te halen.
DebugBear noemt Polymarket niet. Of Polymarket de code van DebugBear gebruikt en of het incident met de diefstal te maken heeft, is nog niet bevestigd. Als het lek bij DebugBear zit, kunnen ook andere websites die de code gebruiken geraakt zijn.
Polymarket werd in juni ook getroffen
Zo'n aanval is bij Polymarket eerder gebeurd. In juni meldde Polymarket dat een externe leverancier was gehackt. Daardoor kwam bij een deel van de gebruikers kwaadaardige code op de website terecht.
Bij die aanval verdween bijna 3 miljoen dollar uit ruim tien wallets, volgens beveiligingsbedrijf PeckShield. Polymarket zei de lekke onderdelen te hebben verwijderd en de getroffen gebruikers volledig terug te betalen.
Of de nieuwe meldingen op dezelfde manier zijn ontstaan, is nog onbekend. Polymarket helpt gebruikers via het supportaccount @PolymarketHelp op X; dat account had bij publicatie nog niets over de zaak gezegd.