Polymarket-traders kwijt miljoenen doordat hackers via een leverancier code in de website zetten

Bij Polymarket is op 29 oktober geld van traders verdwenen, en de oorzaak zat niet in een smart contract. Hackers kwamen binnen via een externe leverancier waarvan de code gewoon in de echte handelswebsite meedraaide. Een trader die zich Car noemt, zag naar eigen zeggen ongeveer $800.000 van zijn account verdwijnen. Al zijn posities waren verkocht. Een vriend van hem zou nog eens $600.000 kwijt zijn. Hij handelde op een apart apparaat en klikte niet op onbekende links. Dat hielp hem niets.

Het lek zat in een meetscript

Volgens CNBC en Reuters, die zich op een ingewijde bron baseren, gaat het om DebugBear. Dat Britse bedrijf meet de prestaties van websites. Kort voordat Polymarket ingreep, meldde DebugBear zelf een lopend beveiligingsincident bij zijn Real User Monitoring-dienst. Klanten van die dienst kregen het advies om de ingebouwde code van hun site te halen. Polymarket noemt de leverancier zelf niet bij naam.

Wat dat technisch betekent, is de kern van dit verhaal. Securitybedrijf Hudson Rock vond kwaadaardige JavaScript die werd geladen vanaf een DebugBear-adres dat aan Polymarket gekoppeld is. Uit onderzoek waarover crypto.news schrijft, blijkt dat die code probeerde bij de handelsclient en de signer te komen van traders die op dat moment ingelogd waren. Met andere woorden: het script kon proberen namens jou orders te plaatsen en walletacties goed te keuren, zonder dat je zelf iets deed.

Voor beginners is dit een belangrijk punt. Het internationale Polymarket is non-custodial: jij beheert je eigen sleutels en het platform heeft je geld niet in bewaring. Dat klinkt veilig, maar het scherm waarop je tekent blijft een zwakke plek. Als de pagina zelf besmet is, wordt elke handtekening een risico. Ervaren traders kennen dit als een supply-chain-aanval op de front-end. Zo'n aanval omzeilt de beveiliging van de contracten volledig.

Een uur lang leeggezogen

Een observer die zich StarPlatinum noemt, volgde een verdachte ontvangende wallet. Zijn tijdlijn laat zien dat het geld al binnenstroomde voordat Polymarket de handel beperkte.

StarPlatinum schatte de totale opbrengst op $2,68 miljoen. Polymarket heeft dat bedrag niet bevestigd en ook geen eigen schadetotaal gepubliceerd. Tijdens de stop zette het platform de beurs in cancel-only-modus en pauzeerde het de relayer, het systeem dat ondertekende walletacties naar de blockchain doorstuurt. "One of our third party providers was compromised, and we have referred this to relevant law enforcement", schreef Polymarket op X. Volgens Reuters gaat het om de Britse autoriteiten. Polymarket US, de aparte en gereguleerde Amerikaanse beurs, werd niet als getroffen genoemd.

Terugbetalen, maar tegen welke prijs?

Polymarket belooft alle getroffen traders volledig te compenseren. Dat is netjes, maar er blijven vragen. Wie stolen geld terugkrijgt, weet waar hij aan toe is. Wie posities gedwongen zag verkopen in een voorspellingsmarkt, weet dat niet. Wordt dat vergoed tegen de koers van het moment van verkoop, of tegen de waarde die de positie later had gehad? Daar heeft het bedrijf nog niets over gezegd.

Het zwaarste punt is dat dit al de tweede keer is in korte tijd. Vier maanden geleden zette een andere gehackte leverancier ook al kwaadaardige code op de website. Ook toen beloofde Polymarket alles terug te betalen. Dat het nu opnieuw via een externe partij misgaat, laat zien hoeveel code van derden er meedraait op een pagina waar mensen met hun wallet tekenen. Voor traders is er voorlopig maar één praktische les: controleer je accounthistorie van 29 oktober en bewaar bewijs voor de afhandeling.