NIEUWS

IN HET KORT: Het populaire crypto-voorspellingsplatform Polymarket is getroffen door een ernstige supply chain-aanval. Aanvallers wisten een extern script van een analytics-leverancier te hacken, waardoor bij honderden actieve bezoekers automatisch geld uit hun digitale portemonnees werd weggesluisd. Volgens blockchain-onderzoekers en analysebureaus liep de totale schade op tot ruim 2,7 miljoen dollar. Polymarket legde de handel op de internationale site direct stil en belooft alle gedupeerde gebruikers volledig te compenseren.

Diefstal via de eigen browser van de gebruiker

Polymarket stelt gebruikers in staat om via Polygon-gebaseerde crypto-wallets in te zetten op een breed scala aan toekomstige gebeurtenissen, variërend van verkiezingsuitslagen tot sportwedstrijden en economische indicatoren. De inbreuk vond plaats toen kwaadwillenden de infrastructuur van DebugBear wisten te infiltreren, een Britse leverancier van tools die de laadsnelheid en prestaties van websites monitort.

De hackers verving een legitiem JavaScript-bestand op de Content Delivery Network (CDN) van de provider door een malafide 'wallet drainer'-script. Omdat dit script op de beurspagina's van Polymarket werd geladen, voerde de browser van ingelogde bezoekers de kwaadaardige code automatisch uit.

De malware controleerde direct of de bezoeker een actieve Polymarket-sessie en handelssleutels open had staan. Zodra een actieve sessie werd aangetroffen, misbruikte het script de autorisatie van de gebruiker om posities te verkopen en tegoeden (zoals de POL-token) rechtstreeks over te maken naar een adres onder controle van de aanvallers.

Geen kluissleutels gestolen, wel actieve sessies misbruikt

Beveiligingsonderzoekers benadrukken dat het incident geen kwetsbaarheid in de underlying smart contracts van Polymarket betrof, en dat er ook geen seed phrases of private keys van gebruikers zijn ontvreemd. Het gevaar van deze specifieke methode zit juist in het misbruik van de reeds geauthenticeerde browsersessie. Hardware-wallets of sterke wachtwoorden boden hierdoor geen bescherming, omdat de transacties werden ondertekend via de actieve handelsrechten die de gebruiker zelf al had vrijgegeven op het platform.

In totaal werden meer dan 730 afzonderlijke accounts getroffen. Hoewel het leeuwendeel van de schade neerkwam bij enkele grote handelaren — één enkel account verloor ruim 350.000 dollar —, werden ook honderden kleinere wallets leeggetrokken.

Respons, stillegging en volledige compensatie

Polymarket greep kort na de eerste meldingen van onbevoegde transacties in door de handel op de internationale site stil te leggen, het platform in een cancel-only-modus te zetten en alle actieve inlogsessies en caches direct te resetten. Binnen een uur werd het malafide script van de servers verwijderd, waarna de beurs na een grondige opschoning weer veilig online werd gebracht. Het Amerikaanse platform van Polymarket, dat onder een apart regulatorisch regime valt, bleef onaangetast.

Het bedrijf heeft de zaak overgedragen aan de Britse rechtshandhaving en toegezegd dat getroffen gebruikers geen schade zullen ondervinden. Alle gedupeerde handelaren worden automatisch en volledig schadeloos gesteld uit de eigen reserves van het platform.

Het incident legt een hardnekkig probleem bloot binnen moderne web- en crypto-applicaties. Zelfs als het eigen platform technisch waterdicht is ingericht, kan het integreren van externe scripts van derden — zoals hulpprogramma's voor analyses of prestaties — een onverwacht paard van Troje binnenhalen. Experts roepen beheerders van financiële en crypto-platforms op om het gebruik van externe scripts op handelspagina's tot een absoluut minimum te beperken en strengere Subresource Integrity (SRI)-controles in te stellen.