Şirket, üçüncü taraf hizmet sağlayıcılarından birinin ele geçirildiğini, sorunu giderdiğini ve konuyu kolluk kuvvetlerine bildirdiğini açıkladı.
Borsa, ET saatiyle 14.05'te yalnızca iptale açık moda (mevcut emirler iptal edilebiliyor, ancak yeni emirler işlenmiyor) geçti.
Düzeltme 14.37'de duyuruldu, olay 15.05'te çözüldü olarak işaretlendi.
Polymarket, işlemlerin tamamen yeniden çalıştığını ve etkilenen kullanıcıların zararlarının karşılanacağını belirtti.
ABD platformunun ise etkilenmediği bildirildi.
Güvenlik şirketi Hudson Rock ve BleepingComputer, oturum açmış kullanıcıların oturumlarını ele geçirmeye, pozisyonları satıp elde edilen geliri aktarmaya ya da pozisyon token'larını saldırganın kontrolündeki bir cüzdana göndermeye çalışan kötü amaçlı bir JavaScript dosyasını inceledi.
Araştırmacılar kodu, web sitelerinin yüklenme hızını izlemesine yardımcı olan Birleşik Krallık merkezli DebugBear'a bağladı.
DebugBear, süregelen bir güvenlik olayından etkilendiğini söyledi, uzman müdahale ekipleri görevlendirdi ve gerçek kullanıcı izleme ürününü kullanan müşterilerini yerleştirme kodunu kaldırmaya çağırdı.
Reuters, olaydan haberdar bir kaynağa dayanarak ilgili sağlayıcının DebugBear olduğunu bildirdi; Polymarket ise adını açıklamadı.
Zarar tahminleri farklı: Hudson Rock, betiğin yedek adresinde yaklaşık 2,19 milyon dolar gördüğünü ve bunun doğrulanmış bir toplam olmadığını belirtti; GoPlus ise kayıpları yaklaşık 2,71 milyon dolar olarak hesapladı.
Car adını kullanan bir yatırımcı, hesabından yaklaşık 800.000 doların kaybolduğunu ve tüm pozisyonlarının satıldığını söyledi.
Polymarket bireysel iddiaları doğrulamadı.
Birçok soru yanıtsız. Polymarket toplam kayıpları, kaç kullanıcının etkilendiğini ya da geri ödemenin nasıl işleyeceğini, onay verilmeden satılan pozisyonların nasıl değerleneceği dahil, açıklamadı. Hudson Rock, DebugBear betiğini kaldıran bir değişikliği gösteren derleme üstverisi (build metadata) buldu ve bulgularının diğer DebugBear müşterilerinin hedef alındığını göstermediğini söyledi, ancak betiğin nasıl değiştirildiğini belirleyemedi. Bu, Polymarket'in yaşadığı ilk benzer olay da değil: Haziran'da arayüzüne kötü amaçlı bir betik enjekte eden başka bir üçüncü taraf ihlalini açıklamış, yaklaşık 3 milyon dolar kayıp bildirilmiş ve o zaman da geri ödeme sözü verilmişti. Şirket, iki olayın aynı tedarikçiyi ya da saldırganı paylaştığını belirtmedi.