Polymarket vergoedt traders na scriptaanval

Een script voor prestatiemonitoring dat op polymarket.com werd geladen, is op 29 oktober vervangen door schadelijke code en gebruikte de openstaande sessies van traders om posities te verkopen en geld uit hun wallets weg te sluizen. Polymarket zegt 3,9 miljoen dollar aan traders terug te geven en de zaak te hebben overgedragen aan de opsporingsautoriteiten. Het incident trof de internationale cryptobeurs van Polymarket. CNBC meldt dat het Amerikaanse platform van het bedrijf niet is gecompromitteerd.

Wat Polymarket heeft bevestigd

Josh Stevens, VP of Engineering van Polymarket, beschreef de aanval in een bericht op X dat het hoofdaccount @Polymarket op 30 oktober opnieuw deelde: “Gisteren is een prestatiescript van een externe partij op polymarket.com gecompromitteerd door de aanvaller van de leverancier en vervangen door een script dat was gebouwd om onze gebruikers aan te vallen. Gedurende korte tijd gebruikte het openstaande sessies om posities te verkopen en geld weg te sluizen. De leverancier heeft de inbreuk openbaar bevestigd.”

Volgens de statuspagina van Polymarket stond de beurs op 29 oktober van 14.05–15.05 uur ET, Nederlandse tijd 19.05–20.05 uur in cancel-only-modus (alleen openstaande orders annuleren), met gepauzeerde relayer-acties. Polymarket zegt het gecompromitteerde script “binnen het uur” te hebben verwijderd, de caches te hebben geleegd en alle actieve inlogsessies te hebben gereset.

In de postmortem (nabeschouwing van het incident), gepubliceerd op de avond van 30 oktober, schrijft Polymarket: “In totaal geven we 3,9 miljoen dollar terug aan traders: de 2,7 miljoen plus 1,2 miljoen om verliezen tijdens de handelspauze te dekken.” Het extra geld dekt posities die het script gedwongen verkocht, en posities die in waarde daalden terwijl de handel stillag. Eerder die dag meldde het account @PolymarketTrade dat 689 van de 726 getroffen wallets volledig waren terugbetaald en dat de overige 37 werden uitbetaald zodra ze waren geverifieerd. De postmortem noemt een aandeel van 95% van de getroffen wallets. Volgens Polymarket zijn geen claims of tickets nodig, en traders die denken dat een bedrag niet klopt, verwijst het naar een formulier waarnaar de postmortem linkt.

Wat anderen melden

Per 30 oktober noemt Polymarket in zijn berichten en in de postmortem de leverancier niet bij naam. BleepingComputer en het beveiligingsbedrijf Hudson Rock zeggen dat het script afkomstig was van DebugBear, een bedrijf dat de prestaties van websites monitort, en verwijzen naar een codewijziging bij Polymarket met de titel “remove debugbear rum script”. CNBC meldt hetzelfde verband op gezag van een ingewijde. DebugBear zelf schreef op 29 oktober dat het bedrijf “getroffen is door een lopend beveiligingsincident”, en vroeg klanten van zijn product Real User Monitoring (RUM) de embedcode te verwijderen. In een nieuw bericht in de vroege ochtend van 31 oktober (CET) schreef DebugBear dat de DNS-records van het bedrijf waren gecompromitteerd via de domeinregistrar en dat de aanval, “op basis van ons eerste onderzoek”, “gericht was op de website van een specifieke klant”.

Bubblemaps en BleepingComputer publiceerden op 29 oktober schattingen, vóór de eigen cijfers van Polymarket. Bubblemaps telde “700+ gebruikers leeggehaald”, analysebedrijven waar CNBC naar verwijst telden 710 wallets, en BleepingComputer herleidde ongeveer 28,6 miljoen POL-tokens, ruwweg 2,57 miljoen dollar waard, naar wallets die aan de aanvaller zijn gekoppeld. De eigen cijfers van Polymarket zijn 2,7 miljoen dollar en 726 wallets.

CNBC meldt ook dat Polymarket gebruikers op Discord vertelde dat wie minder dan 10.000 dollar kwijt was, het geld uiterlijk 30 oktober terug zou krijgen, en dat bij grotere verliezen een ondertekende afstandsverklaring (release) nodig was. Het bericht van Polymarket van 30 oktober en de postmortem zeggen dat geen claims of tickets nodig zijn en vermelden geen afstandsverklaring.

Het is niet het eerste incident van dit soort. In juni 2026 zei Polymarket dat een externe leverancier was gecompromitteerd en voor sommige gebruikers een schadelijk script in de front-end had geplaatst. CoinDesk, dat het blockchain-analysebedrijf AMLBot aanhaalde, schatte de verliezen toen op ongeveer 3,1 miljoen dollar uit 11 wallets.

Onze lezing

Voor iedereen die crypto op een gok- of wedsite heeft staan, gaat het erom waar de aanval plaatsvond. Volgens Polymarket draaide de schadelijke code op de eigen site en gebruikte hij sessies waarin men al was ingelogd. Het was geen nagemaakte kopie van de site, en Polymarket omschrijft het niet als een fout in zijn smart contracts. Zo'n supplychainaanval is voor een gebruiker moeilijk te herkennen. Uitloggen uit sessies die je niet gebruikt en niet meer saldo op een platform laten staan dan nodig, verkleint het risico. Ben je getroffen, haal informatie over terugbetalingen dan alleen bij de eigen kanalen van Polymarket: zulke incidenten trekken vaak valse “terugbetalings”-berichten aan.

Over een ander cryptoincident schreven we bij de hot-walletinbraak bij Gamdom, en over de Amerikaanse beurs van Polymarket bij fraude met gestolen kaarten en opnames uit dezelfde bron. Over regelgeving, zie Michigan en de sportcontracten van Polymarket en de DNS-blokkeringsberichten van Noorwegen.

Beschikbaarheid: Het internationale handelsplatform van Polymarket is in een aantal landen geblokkeerd of beperkt; of het beschikbaar is, hangt af van het land waarin je woont.