Polymarket hyvittää kauppiaille skriptihyökkäyksen

Polymarket.comissa ladattu suorituskyvyn seurantaskripti vaihdettiin 29. lokakuuta haittakoodiin, ja se käytti kauppiaiden avoimia istuntoja positioiden myymiseen ja varojen siirtämiseen heidän lompakoistaan. Polymarketin mukaan se palauttaa kauppiaille 3,9 miljoonaa dollaria ja on siirtänyt tapauksen lainvalvontaviranomaisille. Hyökkäys kohdistui Polymarketin kansainväliseen kryptokauppapaikkaan. CNBC:n mukaan yhtiön Yhdysvaltain-alusta ei vaarantunut.

Mitä Polymarket on vahvistanut

Polymarketin teknologiajohtaja (VP of Engineering) Josh Stevens kuvasi hyökkäystä X-julkaisussa, jonka pääkäyttäjätili @Polymarket jakoi uudelleen 30. lokakuuta: ”Eilen kolmannen osapuolen suorituskykyskripti sivustolla polymarket.com vaarantui toimittajansa hyökkääjän toimesta, ja se vaihdettiin skriptiin, joka oli tehty kohdistumaan käyttäjiimme. Lyhyen ajan se käytti avoimia istuntoja positioiden myymiseen ja varojen siirtämiseen. Toimittaja on vahvistanut tietomurron julkisesti.”

Polymarketin tilasivun mukaan kauppapaikka oli 29. lokakuuta kello 14.05–15.05 ET, Suomen aikaa 20.05–21.05 cancel-only-tilassa (vain avointen toimeksiantojen peruutus mahdollista) ja relayer-toiminnot olivat tauolla. Polymarketin mukaan se poisti vaarantuneen skriptin ”tunnin sisällä”, tyhjensi välimuistit ja nollasi kaikki aktiiviset kirjautumisistunnot.

Jälkikäteisraportissaan (postmortem), joka julkaistiin 30. lokakuuta illalla, Polymarket kirjoittaa: ”Yhteensä palautamme kauppiaille 3,9 milj. dollaria: nuo 2,7 milj. dollaria sekä 1,2 milj. dollaria kaupankäyntitauon aiheuttamien tappioiden kattamiseksi.” Lisärahalla katetaan positiot, jotka skripti myi pakolla, sekä positiot, jotka menettivät arvoaan kaupankäynnin tauon aikana. Aiemmin samana päivänä @PolymarketTrade-tili kertoi, että 689 lompakkoa 726 vaikutuksen kohteeksi joutuneesta oli hyvitetty täysimääräisesti ja loput 37 maksettaisiin sitä mukaa kuin ne vahvistetaan. Jälkikäteisraportin mukaan osuus oli 95 % vaikutuksen kohteeksi joutuneista lompakoista. Polymarketin mukaan korvausvaatimuksia tai tukipyyntöjä ei tarvita, ja jos summa vaikuttaa väärältä, kauppiaita ohjataan raportissa linkitettyyn lomakkeeseen.

Mitä muut kertovat

Tilanne 30. lokakuuta: Polymarket ei nimeä toimittajaa julkaisuissaan eikä jälkikäteisraportissaan. BleepingComputer ja tietoturvayhtiö Hudson Rock kertovat, että skripti tuli DebugBearilta, verkkosivujen suorituskyvyn seurantaan erikoistuneelta yritykseltä, ja viittaavat Polymarketin koodimuutokseen nimeltä ”remove debugbear rum script”. CNBC kertoo saman yhteyden asiaan perehtyneeltä henkilöltä. DebugBear itse kirjoitti 29. lokakuuta, että sitä ”koskee käynnissä oleva tietoturvapoikkeama”, ja pyysi Real User Monitoring (RUM) -tuotteensa asiakkaita poistamaan sen upotuskoodin. Uudessa julkaisussaan 31. lokakuuta varhain aamulla (CET) DebugBear kertoi, että sen DNS-tietueet oli vaarannettu verkkotunnusrekisteröijän kautta ja että hyökkäys oli ”alustavan tutkimuksen perusteella” kohdistunut ”tietyn asiakkaan verkkosivustoon”.

Bubblemaps ja BleepingComputer julkaisivat arvioita 29. lokakuuta, ennen Polymarketin omia lukuja. Bubblemaps laski ”700+ käyttäjän tilit tyhjennetty”, CNBC:n siteeraamat analytiikkayhtiöt laskivat 710 lompakkoa, ja BleepingComputer jäljitti noin 28,6 miljoonaa POL-tokenia, arvoltaan noin 2,57 miljoonaa dollaria, hyökkääjään yhdistettyihin lompakoihin. Polymarketin omat luvut ovat 2,7 miljoonaa dollaria ja 726 lompakkoa.

CNBC kertoo myös, että Polymarket kertoi käyttäjille Discordissa, että alle 10 000 dollaria menettäneille varat palautettaisiin 30. lokakuuta mennessä ja suuremmista tappioista vaadittaisiin allekirjoitettu luopumissopimus. Polymarketin 30. lokakuuta julkaisema viesti ja jälkikäteisraportti sanovat, ettei korvausvaatimuksia tai tukipyyntöjä tarvita, eivätkä mainitse luopumissopimusta.

Tämä ei ole alalla ensimmäinen vastaava tapaus. Kesäkuussa 2026 Polymarket kertoi, että kolmannen osapuolen toimittaja oli vaarantunut ja ujuttanut haitallisen skriptin sivuston käyttöliittymään joillekin käyttäjille. CoinDesk arvioi lohkoketja-analytiikkayhtiö AMLBotiin vedoten tappioiksi silloin noin 3,1 miljoonaa dollaria 11 lompakosta.

Meidän tulkintamme

Kaikille, jotka pitävät kryptovaroja uhkapeli- tai vedonlyöntisivustolla, olennaista on, missä hyökkäys tapahtui. Polymarketin mukaan haittakoodi toimi sen omalla sivustolla ja käytti istuntoja, joihin oli jo kirjauduttu. Kyse ei ollut sivuston väärennetystä kopiosta, eikä Polymarket kuvaa tapausta älysopimustensa virheeksi. Tällaista toimitusketjuhyökkäystä on käyttäjän vaikea huomata. Altistumista vähentää, jos kirjautuu ulos istunnoista, joita ei käytä, eikä jätä alustalle enempää saldoa kuin tarvitsee. Jos olit mukana, hyvitystiedot kannattaa hakea vain Polymarketin omista kanavista: tällaiset tapaukset houkuttelevat usein väärennettyjä ”hyvitysviestejä”.

Toisesta kryptotapauksesta kerroimme jutussa Gamdomin kuumalompakon murto ja Polymarketin Yhdysvaltain kauppapaikasta jutussa varastetuilla korteilla tehdyt petokset ja saman lähteen nostot. Sääntelystä lisää: Michigan ja Polymarketin urheilusopimukset sekä Norjan DNS-estoilmoitukset.

Saatavuus: Polymarketin kansainvälinen kauppapaikka on estetty tai rajoitettu useissa maissa; sen saatavuus riippuu asuinmaasta.