Polymarket refunderer tradere etter skriptangrep

Et skript for ytelsesovervåking som ble lastet på polymarket.com, ble 29. oktober byttet ut med skadelig kode og brukte tradernes åpne økter til å selge posisjoner og flytte midler ut av lommebøkene deres. Polymarket sier at de betaler tilbake 3,9 millioner dollar til tradere, og at saken er oversendt til rettshåndhevende myndigheter. Hendelsen rammet Polymarkets internasjonale kryptobørs. CNBC melder at selskapets amerikanske plattform ikke ble kompromittert.

Hva Polymarket har bekreftet

Polymarkets VP of Engineering, Josh Stevens, beskrev angrepet i et innlegg på X som hovedkontoen @Polymarket delte på nytt 30. oktober: «I går ble et tredjeparts ytelsesskript på polymarket.com kompromittert av leverandørens angriper og byttet ut med et skript laget for å ramme brukerne våre. I et kort tidsrom brukte det åpne økter til å selge posisjoner og flytte midler. Leverandøren har offentlig bekreftet bruddet.»

Ifølge Polymarkets statusside sto børsen i cancel-only-modus (kun kansellering av åpne ordrer), med relayer-handlinger satt på pause, 29. oktober fra 14.05–15.05 ET, norsk tid 19.05–20.05. Polymarket sier at de fjernet det kompromitterte skriptet «innen en time», tømte hurtigbufrene og tilbakestilte alle aktive påloggingsøkter.

I etterpårapporten (postmortem), publisert om kvelden 30. oktober, skriver Polymarket: «Til sammen betaler vi tilbake 3,9 mill. dollar til tradere: de 2,7 millionene pluss 1,2 millioner for å dekke tap under handelspausen.» De ekstra pengene dekker posisjoner som skriptet tvangssolgte, og posisjoner som falt i verdi mens handelen var satt på pause. Tidligere samme dag opplyste kontoen @PolymarketTrade at 689 av 726 berørte lommebøker var refundert i sin helhet, og at de resterende 37 ble utbetalt etter hvert som de ble verifisert. Etterpårapporten oppgir andelen til 95 % av de berørte lommebøkene. Polymarket sier at ingen krav eller henvendelser er nødvendige, og viser tradere som mener et beløp er feil, til et skjema det er lenket til i rapporten.

Hva andre melder

Per 30. oktober navngir ikke Polymarket leverandøren, verken i innleggene eller i etterpårapporten. BleepingComputer og sikkerhetsselskapet Hudson Rock sier at skriptet kom fra DebugBear, et selskap som overvåker ytelsen til nettsider, og viser til en kodeendring hos Polymarket med tittelen «remove debugbear rum script». CNBC melder om den samme koblingen fra en person med kjennskap til saken. DebugBear skrev selv 29. oktober at de var «rammet av en pågående sikkerhetshendelse», og ba kunder av produktet Real User Monitoring (RUM) om å fjerne innbyggingskoden. I et nytt innlegg tidlig på morgenen 31. oktober (CET) skrev DebugBear at DNS-oppføringene deres var kompromittert via domeneregistraren, og at angrepet, «basert på vår første undersøkelse», «var rettet mot nettstedet til en bestemt kunde».

Bubblemaps og BleepingComputer publiserte anslag 29. oktober, før Polymarkets egne tall kom. Bubblemaps talte «700+ brukere tømt», analyseselskaper som CNBC viser til, talte 710 lommebøker, og BleepingComputer sporet omtrent 28,6 millioner POL-tokens, verdt rundt 2,57 millioner dollar, til lommebøker knyttet til angriperen. Polymarkets egne tall er 2,7 millioner dollar og 726 lommebøker.

CNBC melder også at Polymarket skal ha fortalt brukerne på Discord at de som tapte mindre enn 10 000 dollar, ville få pengene tilbake innen 30. oktober, og at større tap ville kreve et signert ansvarsfraskrivelsesskjema (release). Polymarkets innlegg og etterpårapport fra 30. oktober sier at ingen krav eller henvendelser er nødvendige, og nevner ikke noe slikt skjema.

Dette er ikke den første hendelsen av denne typen. I juni 2026 sa Polymarket at en tredjepartsleverandør var kompromittert og hadde plassert et skadelig skript i frontenden for enkelte brukere. CoinDesk, som viser til blokkjedeanalyseselskapet AMLBot, anslo tapene den gangen til rundt 3,1 millioner dollar fra 11 lommebøker.

Vår vurdering

For alle som har krypto på et spille- eller bettingsted, er det avgjørende hvor angrepet foregikk. Ifølge Polymarket kjørte den skadelige koden på selve nettstedet og brukte økter som allerede var innlogget. Det var ikke en falsk kopi av nettstedet, og Polymarket beskriver det ikke som en feil i smartkontraktene sine. Et slikt forsyningskjedeangrep er vanskelig for en bruker å oppdage. Å logge ut av økter man ikke bruker, og å ikke la mer saldo stå på en plattform enn nødvendig, reduserer risikoen. Hvis du var rammet, bør du hente informasjon om refusjon bare fra Polymarkets egne kanaler: slike hendelser trekker gjerne til seg falske «refusjons»-meldinger.

Vi har skrevet om en annen kryptohendelse i Gamdoms hot wallet-brudd, og om Polymarkets amerikanske børs i svindel med stjålne kort og uttak fra samme kilde. Om regulering, se Michigan og Polymarkets sportskontrakter og Norges DNS-blokkeringsvarsler.

Tilgjengelighet: Polymarkets internasjonale handelsplattform er blokkert eller begrenset i flere land; om den er tilgjengelig, avhenger av hvilket land du bor i.