Polymarket refunderer tradere efter script-angreb

Et script til overvågning af ydeevnen, som blev indlæst på polymarket.com, blev den 29. oktober skiftet ud med skadelig kode og brugte tradernes åbne sessioner til at sælge positioner og flytte midler ud af deres wallets. Polymarket siger, at de betaler 3,9 millioner dollar tilbage til tradere, og at sagen er overgivet til retshåndhævende myndigheder. Hændelsen ramte Polymarkets internationale kryptobørs. CNBC skriver, at virksomhedens amerikanske platform ikke blev kompromitteret.

Hvad Polymarket har bekræftet

Polymarkets VP of Engineering, Josh Stevens, beskrev angrebet i et opslag på X, som hovedkontoen @Polymarket delte igen den 30. oktober: »I går blev et tredjeparts-performancescript på polymarket.com kompromitteret af leverandørens angriber og skiftet ud med et script, der var bygget til at ramme vores brugere. I et kort tidsrum brugte det åbne sessioner til at sælge positioner og flytte midler. Leverandøren har offentligt bekræftet bruddet.«

Ifølge Polymarkets statusside var børsen den 29. oktober fra 14.05–15.05 ET, dansk tid 19.05–20.05 i cancel-only-tilstand (kun annullering af åbne ordrer), mens relayer-handlinger var sat på pause. Polymarket siger, at de fjernede det kompromitterede script »inden for en time«, tømte cachen og nulstillede alle aktive login-sessioner.

I sin efterfølgende rapport (postmortem), offentliggjort om aftenen den 30. oktober, skriver Polymarket: »I alt betaler vi 3,9 mio. dollar tilbage til tradere: de 2,7 mio. plus 1,2 mio. til at dække tab under handelspausen.« De ekstra penge dækker positioner, som scriptet tvangssolgte, og positioner, der tabte værdi, mens handlen var sat på pause. Tidligere samme dag oplyste kontoen @PolymarketTrade, at 689 af 726 berørte wallets var refunderet fuldt ud, og at de resterende 37 blev udbetalt, efterhånden som de blev verificeret. Rapporten angiver andelen til 95 % af de berørte wallets. Polymarket siger, at der ikke er brug for krav eller henvendelser, og henviser tradere, der mener, at et beløb er forkert, til en formular, som der er linket til i rapporten.

Hvad andre rapporterer

Pr. 30. oktober navngiver Polymarket ikke leverandøren, hverken i sine opslag eller i rapporten. BleepingComputer og sikkerhedsfirmaet Hudson Rock siger, at scriptet kom fra DebugBear, en virksomhed, der overvåger websteders ydeevne, og henviser til en kodeændring hos Polymarket med titlen »remove debugbear rum script«. CNBC rapporterer den samme forbindelse fra en person med kendskab til sagen. DebugBear skrev selv den 29. oktober, at firmaet var »ramt af en igangværende sikkerhedshændelse«, og bad kunder, der bruger produktet Real User Monitoring (RUM), om at fjerne indlejringskoden. Pr. I et nyt opslag tidligt om morgenen den 31. oktober (CET) skrev DebugBear, at firmaets DNS-poster var blevet kompromitteret via domæneregistratoren, og at angrebet, »baseret på vores første undersøgelse«, »var rettet mod en bestemt kundes hjemmeside«.

Bubblemaps og BleepingComputer offentliggjorde skøn den 29. oktober, før Polymarkets egne tal kom. Bubblemaps talte »700+ brugere tømt«, analysefirmaer, som CNBC henviser til, talte 710 wallets, og BleepingComputer sporede omkring 28,6 millioner POL-tokens, til en værdi af cirka 2,57 millioner dollar, til wallets knyttet til angriberen. Polymarkets egne tal er 2,7 millioner dollar og 726 wallets.

CNBC rapporterer også, at Polymarket fortalte brugerne på Discord, at dem, der havde tabt under 10.000 dollar, ville få pengene tilbage senest den 30. oktober, og at større tab ville kræve en underskrevet ansvarsfrasigelse (release). Polymarkets opslag og rapport fra den 30. oktober siger, at der ikke er brug for krav eller henvendelser, og nævner ingen ansvarsfrasigelse.

Det er ikke den første hændelse af den slags. I juni 2026 sagde Polymarket, at en tredjepartsleverandør var blevet kompromitteret og havde lagt et skadeligt script ind i frontenden for nogle brugere. CoinDesk, der henviste til blockchain-analysefirmaet AMLBot, anslog dengang tabene til cirka 3,1 millioner dollar fra 11 wallets.

Vores vurdering

For alle, der har krypto liggende på et spille- eller bettingsite, er det afgørende, hvor angrebet kørte. Ifølge Polymarket kørte den skadelige kode på selve siden og brugte sessioner, hvor man allerede var logget ind. Det var ikke en falsk kopi af siden, og Polymarket beskriver det ikke som en fejl i sine smart contracts. Et sådant forsyningskædeangreb er svært for en bruger at få øje på. Det mindsker risikoen at logge ud af sessioner, man ikke bruger, og ikke lade mere saldo stå på en platform end nødvendigt. Hvis du blev ramt, bør du kun hente oplysninger om refusion fra Polymarkets egne kanaler: den slags hændelser tiltrækker ofte falske »refusions«-beskeder.

Vi har skrevet om en anden kryptohændelse i Gamdoms hot wallet-brud og om Polymarkets amerikanske børs i svindel med stjålne kort og udbetalinger fra samme kilde. Om regulering, se Michigan og Polymarkets sportskontrakter og Norges DNS-blokeringsvarsler.

Tilgængelighed: Polymarkets internationale handelsplatform er blokeret eller begrænset i en række lande; om den er tilgængelig, afhænger af, hvilket land man bor i.