Polymarket ersätter handlare efter skriptattack

Ett skript för prestandaövervakning som lästes in på polymarket.com byttes den 29 oktober ut mot skadlig kod och använde handlarnas öppna sessioner för att sälja positioner och flytta medel ut ur deras plånböcker. Polymarket säger att de återbetalar 3,9 miljoner dollar till handlarna och att ärendet har lämnats över till brottsbekämpande myndigheter. Händelsen drabbade Polymarkets internationella kryptobörs. CNBC uppger att företagets amerikanska plattform inte komprometterades.

Vad Polymarket har bekräftat

Polymarkets VP of Engineering, Josh Stevens, beskrev attacken i ett inlägg på X som huvudkontot @Polymarket delade på nytt den 30 oktober: ”I går komprometterades ett tredjepartsskript för prestanda på polymarket.com av leverantörens angripare och byttes ut mot ett skript som var byggt för att angripa våra användare. Under en kort tid använde det öppna sessioner för att sälja positioner och flytta medel. Leverantören har offentligt bekräftat intrånget.”

Enligt Polymarkets statussida låg börsen i cancel-only-läge (endast annullering av öppna order), med relayer-åtgärder pausade, den 29 oktober klockan 14.05–15.05 ET, svensk tid 19.05–20.05. Polymarket säger att de tog bort det komprometterade skriptet ”inom en timme”, tömde cacheminnena och återställde alla aktiva inloggningssessioner.

I sin efterhandsrapport (postmortem), publicerad på kvällen den 30 oktober, skriver Polymarket: ”Totalt återbetalar vi 3,9 miljoner dollar till handlarna: de 2,7 miljonerna plus 1,2 miljoner för att täcka förluster under handelspausen.” Pengarna utöver det täcker positioner som skriptet tvångssålde och positioner som tappade i värde medan handeln var pausad. Tidigare samma dag uppgav kontot @PolymarketTrade att 689 av 726 drabbade plånböcker hade ersatts fullt ut och att de återstående 37 betalades ut allteftersom de verifierades. Efterhandsrapporten anger andelen till 95 % av de drabbade plånböckerna. Polymarket säger att inga krav eller ärenden behövs, och hänvisar handlare som tycker att ett belopp är fel till ett formulär som det länkas till i rapporten.

Vad andra rapporterar

Per den 30 oktober namnger Polymarket inte leverantören, varken i sina inlägg eller i efterhandsrapporten. BleepingComputer och säkerhetsföretaget Hudson Rock säger att skriptet kom från DebugBear, ett företag som övervakar webbplatsers prestanda, och hänvisar till en kodändring hos Polymarket med titeln ”remove debugbear rum script”. CNBC rapporterar samma koppling från en person med insyn i frågan. DebugBear skrev själva den 29 oktober att de var ”drabbade av en pågående säkerhetsincident” och bad kunder som använder deras produkt Real User Monitoring (RUM) att ta bort inbäddningskoden. I ett nytt inlägg tidigt på morgonen den 31 oktober (CET) skrev DebugBear att deras DNS-poster hade komprometterats via domänregistratorn och att attacken, ”baserat på vår första utredning”, ”riktades mot en specifik kunds webbplats”.

Bubblemaps och BleepingComputer publicerade uppskattningar den 29 oktober, före Polymarkets egna siffror. Bubblemaps räknade ”700+ användare tömda”, analysföretag som CNBC hänvisar till räknade 710 plånböcker, och BleepingComputer spårade omkring 28,6 miljoner POL-tokens, värda ungefär 2,57 miljoner dollar, till plånböcker kopplade till angriparen. Polymarkets egna siffror är 2,7 miljoner dollar och 726 plånböcker.

CNBC rapporterar också att Polymarket sa till användare på Discord att den som förlorat mindre än 10 000 dollar skulle få tillbaka pengarna senast den 30 oktober, och att större förluster skulle kräva ett undertecknat ansvarsfriskrivningsformulär (release). Polymarkets inlägg och efterhandsrapport från den 30 oktober säger att inga krav eller ärenden behövs och nämner inget sådant formulär.

Det här är inte den första incidenten av sitt slag. I juni 2026 sa Polymarket att en tredjepartsleverantör hade komprometterats och lagt in ett skadligt skript i frontend för vissa användare. CoinDesk, som hänvisade till blockkedjeanalysföretaget AMLBot, uppskattade förlusterna då till omkring 3,1 miljoner dollar från 11 plånböcker.

Vår bedömning

För alla som har krypto på en spel- eller betsajt är det avgörande var attacken skedde. Enligt Polymarket kördes den skadliga koden på den egna sajten och använde sessioner där man redan var inloggad. Det var ingen falsk kopia av sajten, och Polymarket beskriver det inte som ett fel i sina smarta kontrakt. En sådan attack via leveranskedjan är svår för en användare att upptäcka. Att logga ut från sessioner man inte använder och att inte låta mer saldo ligga kvar på en plattform än nödvändigt minskar risken. Om du drabbades bör du hämta information om återbetalningen bara från Polymarkets egna kanaler: sådana händelser brukar locka till sig falska ”återbetalnings”-meddelanden.

Vi har skrivit om en annan kryptohändelse i Gamdoms intrång i hot wallet och om Polymarkets amerikanska börs i bedrägerier med stulna kort och uttag från samma källa. Om regleringen, se Michigan och Polymarkets sportkontrakt och Norges DNS-blockeringsmeddelanden.

Tillgänglighet: Polymarkets internationella handelsplats är blockerad eller begränsad i flera länder; om den är tillgänglig beror på i vilket land man bor.