Polymarket rimborsa i trader dopo l’attacco allo script

Uno script di monitoraggio delle prestazioni caricato su polymarket.com è stato sostituito il 29 ottobre con codice malevolo, che ha usato le sessioni aperte dei trader per vendere posizioni e portare fondi fuori dai loro portafogli. Polymarket dice di restituire 3,9 milioni di dollari ai trader e di aver segnalato il caso alle forze dell’ordine. L’incidente ha colpito la piattaforma internazionale di Polymarket. Secondo la CNBC, la piattaforma statunitense della società non è stata compromessa.

Cosa ha confermato Polymarket

Josh Stevens, VP of Engineering di Polymarket, ha descritto l’attacco in un post su X che l’account principale @Polymarket ha ripubblicato il 30 ottobre: «Ieri uno script di terze parti per le prestazioni su polymarket.com è stato compromesso dall’aggressore del suo fornitore e sostituito con uno creato per colpire i nostri utenti. Per un breve intervallo ha usato sessioni aperte per vendere posizioni e spostare fondi. Il fornitore ha confermato pubblicamente la violazione.»

Secondo la pagina di stato di Polymarket, la piattaforma è stata in modalità di solo annullamento (cancel-only; si possono solo annullare gli ordini aperti), con le azioni del relayer sospese, il 29 ottobre dalle 14:05 alle 15:05 ET, cioè dalle 19:05 alle 20:05 in Italia. Polymarket dice di aver rimosso lo script compromesso «entro un’ora», svuotato le cache e azzerato tutte le sessioni di accesso attive.

Nel resoconto post-incidente (postmortem), pubblicato la sera del 30 ottobre, Polymarket scrive: «In totale restituiamo 3,9 mln $ ai trader: i 2,7 mln $ più 1,2 mln $ per coprire le perdite legate alla pausa.» Il denaro aggiuntivo copre le posizioni che lo script ha venduto a forza e quelle che hanno perso valore mentre gli scambi erano sospesi. All’inizio della stessa giornata l’account @PolymarketTrade aveva detto che 689 dei 726 portafogli colpiti erano stati rimborsati per intero e che i restanti 37 venivano pagati man mano che venivano verificati. Il resoconto indica una quota del 95% dei portafogli colpiti. Polymarket dice che non servono richieste né ticket e rimanda i trader che ritengono sbagliato un importo a un modulo collegato nel resoconto.

Cosa riferiscono altri

Al 30 ottobre, Polymarket non nomina il fornitore, né nei suoi post né nel resoconto. BleepingComputer e la società di sicurezza Hudson Rock affermano che lo script veniva da DebugBear, un’azienda che monitora le prestazioni dei siti web, e citano una modifica al codice di Polymarket intitolata «remove debugbear rum script». La CNBC riferisce lo stesso collegamento da una persona a conoscenza dei fatti. La stessa DebugBear ha scritto il 29 ottobre di essere «colpita da un incidente di sicurezza in corso» e ha chiesto ai clienti del suo prodotto Real User Monitoring (RUM) di rimuovere il codice di incorporamento. In un altro post, nelle prime ore del 31 ottobre (CET), DebugBear ha dichiarato che i suoi record DNS erano stati compromessi tramite il registrar del dominio e che l’attacco, «in base alla nostra indagine iniziale», «ha preso di mira il sito web di un cliente specifico».

Bubblemaps e BleepingComputer hanno pubblicato stime il 29 ottobre, prima delle cifre di Polymarket. Bubblemaps ha contato «oltre 700 utenti svuotati», le società di analisi citate dalla CNBC hanno contato 710 portafogli, e BleepingComputer ha rintracciato circa 28,6 milioni di token POL, per un valore di circa 2,57 milioni di dollari, fino a portafogli collegati all’aggressore. Le cifre di Polymarket sono 2,7 milioni di dollari e 726 portafogli.

La CNBC riferisce anche che Polymarket ha detto agli utenti su Discord che chi aveva perso meno di 10.000 dollari avrebbe riavuto i fondi entro il 30 ottobre e che per perdite maggiori sarebbe servita una dichiarazione liberatoria firmata (release). Il post di Polymarket del 30 ottobre e il resoconto dicono che non servono richieste né ticket e non menzionano alcuna dichiarazione liberatoria.

Non è il primo episodio del genere. Nel giugno 2026 Polymarket aveva detto che un fornitore terzo era stato compromesso e aveva iniettato uno script malevolo nel suo front-end per alcuni utenti. CoinDesk, citando la società di analisi blockchain AMLBot, stimò allora le perdite in circa 3,1 milioni di dollari da 11 portafogli.

La nostra lettura

Per chi tiene cripto-attività su un sito di gioco o di scommesse, conta dove è avvenuto l’attacco. Secondo Polymarket, il codice malevolo girava sul suo stesso sito e sfruttava sessioni già aperte. Non era una copia falsa del sito, e Polymarket non lo descrive come un difetto dei suoi smart contract. Un attacco alla catena di fornitura di questo tipo è difficile da riconoscere per un utente. Uscire dalle sessioni che non si usano e non lasciare su una piattaforma più saldo del necessario riduce l’esposizione. Chi è stato colpito dovrebbe informarsi sui rimborsi solo dai canali ufficiali di Polymarket: episodi come questo tendono ad attirare falsi messaggi di «rimborso».

Abbiamo trattato un altro incidente cripto in la violazione dell’hot wallet di Gamdom e la piattaforma statunitense di Polymarket in le frodi con carte rubate e i prelievi dalla stessa fonte. Sul fronte regolatorio, vedi il Michigan e i contratti sportivi di Polymarket e gli avvisi di blocco DNS della Norvegia.

Disponibilità: La piattaforma internazionale di Polymarket è bloccata o limitata in diversi Paesi; la sua disponibilità dipende dal Paese di residenza.