I problemi di sicurezza di Polymarket potrebbero essere lungi dall'essere risolti

Polymarket ha riaperto il trading sul suo exchange internazionale il 29 ottobre 2026, dopo essere stato costretto a chiudere temporaneamente a causa di uno script di monitoraggio compromesso. L'exchange ha bloccato gli ordini, interrotto le attività dei relayer e promesso ai clienti il rimborso dei fondi. La piattaforma statunitense separata non è stata interessata.

Uno script di monitoraggio che accedeva alle sessioni di trading live

Hudson Rock ha scoperto un payload dannoso di 15.187 byte nello script Real User Monitoring di DebugBear. Era in grado di accedere alle informazioni degli account salvati, scoprire i clienti autorizzati dei trader e tentare la vendita delle posizioni nonché il trasferimento di token.

Il codice del sito web di Polymarket ha inoltre mostrato che lo script DebugBear era stato rimosso. L'attacco sembra aver sfruttato il codice in esecuzione sul sito, piuttosto che una vulnerabilità nei suoi smart contract.

Modalità solo annullamento, poi una correzione entro le 3 ET

Il 29 ottobre 2026, Polymarket ha messo lo scambio internazionale in modalità solo cancellazione. Il suo account status ha dichiarato che un provider era stato compromesso e che il caso era stato riferito alle forze dell'ordine del Regno Unito.

Il 29 ottobre 2026, intorno alle 15:00 ET, le negoziazioni sono riprese su Polymarket. L'azienda ha annunciato la propria politica di rimborso. Secondo CNBC, si prevede che i clienti con perdite inferiori a 10.000 dollari ricevano i rimborsi entro il 30 ottobre 2026. Al contrario, i clienti dell'azienda con perdite superiori a tale importo devono prima firmare un modulo di rinuncia. Sebbene l'azienda abbia comunicato i propri piani di rimborso, non conferma che siano stati effettivamente emessi rimborsi.

DebugBear ha chiesto ai clienti di rimuovere il suo codice

DebugBear ha anche riconosciuto un problema di sicurezza. Il 29 ottobre 2026, l'azienda ha esortato i clienti a rimuovere il proprio codice di monitoraggio mentre specialisti intervenivano per le indagini.

Siamo interessati da un incidente di sicurezza in corso. Se utilizzi il nostro prodotto RUM, ti preghiamo di rimuovere il codice di embeddal tuo sito web.

— DebugBear (@DebugBear) Ottobre 29, 2026

L'avviso ha evidenziato una preoccupazione più ampia. Gli script di terze parti possono essere eseguiti all'interno di siti web legittimi. Se compromessi, potrebbero ottenere l'accesso alle sessioni attive del browser degli utenti.

Stime preliminari delle perdite rispetto alle perdite confermate

Al momento, i danni finanziari rimangono incerti. Betting Intelligence e Polysights hanno tracciato almeno 2,7 milioni di dollari in prelievi che coinvolgevano 710 wallet il 29 ottobre 2026, come riportato da CNBC.

Nel frattempo, Hudson Rock ha identificato circa 2,19 milioni di dollari su un indirizzo di destinatario alternativo. Tuttavia, tale saldo non stabilisce quanto sia stato rubato. Polymarket non ha ancora confermato le perdite totali.

Due precedenti incidenti dei fornitori, nessuna causa condivisa

Questo non è stato il primo problema di sicurezza legato a fornitori per Polymarket. Nel giugno 2026, Halborn e TechCrunch hanno segnalato un attacco tramite script malevoli. Si stima che abbia drenato circa 3 milioni di dollari da almeno 11 portafogli. Anche in quel caso, Polymarket promise dei rimborsi.

In precedenza, nel dicembre 2025, una violazione separata del provider di autenticazione ha interessato gli account degli utenti. Sia Cryptopolitan che CertiK hanno documentato l'incidente.

Tutti e tre i casi hanno coinvolto provider esterni. Tuttavia, non ci sono prove che li colleghino allo stesso attaccante o alla stessa causa sottostante.

Cosa significa la ripetuta esposizione ai fornitori per un settore da 78 miliardi di dollari

Questi incidenti ripetuti si verificano mentre i mercati predittivi attirano maggiore attività di trading. Un rapporto derivato da Artemis ha registrato 76,46 miliardi di dollari di volume di scambio sui mercati tracciati nel settembre 2026. Polymarket ha rappresentato 13,12 miliardi di dollari. Queste cifre rappresentano l'attività di trading, non gli asset detenuti.

Questa crescita porta le preoccupazioni per la sicurezza in primo piano. CertiK avverte che le piattaforme che combinano servizi web tradizionali con tecnologia blockchain possono comunque presentare vulnerabilità centralizzate.

Tali rischi potrebbero anche scoraggiare gli investitori istituzionali. Secondo Jefferies, i hedge fund mostrano interesse ma rimangono cauti. Preoccupazioni relative alla liquidità, alla conformità normativa e alla reputazione continuano a frenarli.

Nel frattempo, KPMG evidenzia le diverse responsabilità di fornitori, broker, exchange e camere di compensazione. Gli exchange regolamentati negli Stati Uniti devono rispettare requisiti di sorveglianza, salvaguardia dei sistemi e protezione dei partecipanti. Tuttavia, queste norme non si applicano automaticamente a Polymarket International.

Per Polymarket, ripristinare il trading è solo una parte della sfida. La prova più grande è se potrà gestire i rischi provenienti da fornitori esterni e riguadagnare la fiducia degli utenti.