Polymarket introduce un blocco di 48 ore sui prelievi dopo la violazione dello script del fornitore da 2,7 milioni di dollari

Polymarket ha aggiunto una nuova impostazione che consente ai trader di inviare prelievi solo a wallet preapprovati.

La funzione arriva circa due settimane dopo che uno script hackerato ha drenato circa 2,7 milioni di dollari dagli account degli utenti. 

Cosa fa il nuovo blocco dei prelievi di Polymarket?

Josh Stevens, vice presidente dell'ingegneria di Polymarket, ha annunciato lunedì che Polymarket avrebbe aggiunto una nuova funzione che consentirà ai trader di inviare prelievi solo a wallet precedentemente approvati. L'annuncio è stato fatto in un post su X dall'account @devjoshstevens. 

Aggiungere un nuovo indirizzo wallet a un account utente richiede solo due passaggi. Il trader deve confermare la richiesta tramite email e poi attendere 48 ore. Se il trader non ha avviato la richiesta, può annullarla direttamente da quell'email.

Con questa misura in atto, gli attaccanti non saranno più in grado di inviare denaro a un nuovo portafoglio senza superare il controllo dell'e-mail e attendere i due giorni richiesti. Stevens ha dichiarato che l'obiettivo è assicurarsi che gli attaccanti non possano inviare denaro a nessun indirizzo non controllato dall'utente.

Tuttavia, il blocco non risolve il problema alla radice della violazione subita da Polymarket solo due settimane fa. Quel hack ha portato al drenaggio di circa 2,7 milioni di dollari dai conti degli utenti. È stato effettuato tramite uno script di terze parti eseguito all'interno del sito di Polymarket con accesso alle sessioni attive.

Polymarket ha affrontato questo tipo di problema già quest'anno a giugno, quando ha subito un attacco tramite script di un fornitore che ha causato il drenaggio di circa 3 milioni di dollari da almeno 11 portafogli, secondo le precedenti segnalazioni di Cryptopolitan. Una violazione nel dicembre 2025 presso un provider di autenticazione ha inoltre colpito i conti degli utenti. 

Ognuno di questi casi ha coinvolto un fornitore esterno, ma nulla li collega a un singolo attaccante.

Come si è verificato l'hack di Polymarket e quali sono le prossime mosse?

Il 29ottobre, Polymarket ha sospeso il trading sulla sua piattaforma internazionale dopo che gli attaccanti hanno preso il controllo di uno script proveniente da DebugBear, un'azienda britannica che monitora la velocità dei siti web. Lo script è stato sostituito con codice progettato per drenare i portafogli.

I ricercatori di Hudson Rock hanno scoperto che il codice verificava se un visitatore fosse connesso a Polymarket. Successivamente, leggeva i saldi e le posizioni aperte. Infine, utilizzava gli strumenti di trading del sito per vendere le posizioni e inviare il denaro al portafoglio dell'attaccante. 

Hudson Rock ha inoltre rilevato che il codice del sito di Polymarket registrava la rimozione dello script. Polymarket ha dichiarato di aver riferito il caso alle autorità di polizia. 

Bitquery ha segnalato che gli aggressori hanno sottratto 2,73 milioni di dollari da 737 account in circa un'ora, tra le 17:10 e le 18:10 UTC. Sono state effettuate 985 prelievi, ciascuno dei quali era accompagnato da un'approvazione valida. I contratti intelligenti li hanno quindi trattati come azioni reali degli utenti. 

Un account ha subito una perdita di 358.369 dollari in un singolo prelievo, mentre 276 account hanno perso meno di 100 dollari ciascuno. Altri 33 utenti hanno visto sottrarsi quote relative ai mercati delle previsioni.

Polymarket ha annunciato che rimborserà integralmente tutti gli utenti, ma i rimborsi per le perdite inferiori a 10.000 dollari verranno effettuati prioritariamente.

Binance e Polymarket hanno anche richiesto ai validatori di Polygon approvare un hard fork. Un hard fork è una modifica del software di rete che tutti i validatori devono adottare. Questa operazione sposterebbe circa 70,49 milioni di token POL congelati, del valore di circa 6,5 milioni di dollari, dai wallet degli aggressori. La proposta è stata pubblicata il 4 novembre e presentata in una riunione di governance Polygon il 5 novembre. Il voto e la data sono ancora in sospeso. 

Anche altre aziende stanno rafforzando la sicurezza. Martedì, l'azienda di sicurezza CertiK avrebbe dichiarato, a seguito dell'hack da 6,3 miliardi di dollari di Binance, che gli exchange dovrebbero stabilire limiti monetari fissi sulla quantità di fondi mantenuti nei wallet caldi, invece di fare affidamento esclusivamente sui rapporti con lo storage freddo.