Pembuka
Pada 14 Juni 2026, Polymarket mengonfirmasi adanya peretasan internal pada wallet yang memengaruhi sistem imbal hasil operasionalnya. Pelanggaran ini, pertama kali diisyaratkan oleh perusahaan analitik on-chain Bubblemaps, melibatkan transfer otomatis yang mencurigakan dari wallet yang terhubung dengan distribusi hadiah platform. Polymarket menjelaskan bahwa dana pengguna tetap aman, mengaitkan insiden ini pada kompromi private key, bukan pada adanya kelemahan apa pun di kontrak pintar inti platform. Pembedaan ini penting: kerentanan kontrak pintar akan mengancam setiap dolar di platform, sementara wallet operasional yang dikompromikan adalah masalah yang lebih terbatas. Insiden ini menunjukkan bagaimana pasar prediksi modern menangani kegagalan keamanan dan pilihan arsitektur yang membatasi dampak ketika terjadi pelanggaran.
Penemuan: Peringatan Bubblemaps dan Arus Keluar Otomatis
Sinyal publik pertama datang dari Bubblemaps, alat visualisasi on-chain yang memantau klaster wallet dan aliran token di berbagai jaringan. Sistem peringatan otomatis mereka menandai pola arus keluar dari alamat yang diketahui terkait Polymarket di jaringan Polygon, sehingga memicu pemeriksaan segera dari komunitas keamanan kripto yang lebih luas.
Dalam hitungan jam, peneliti independen mengonfirmasi temuan tersebut. Wallet itu dikuras secara sistematis melalui serangkaian transaksi identik, masing-masing memindahkan jumlah tetap token POL pada interval reguler. Ketepatan mekanis transfer menunjukkan eksekusi otomatis.
Pengenalan Pola: Transfer Berulang 5,000 POL
Penyerang melakukan transfer tepat 5,000 POL kira-kira setiap 12 menit selama beberapa jam. Ekstraksi yang seperti tetesan ini menyebarkan pencurian ke puluhan transaksi kecil, alih-alih satu transaksi besar yang akan langsung memicu peringatan.
Saat Bubblemaps mengangkat alarm, sekitar 230,000 POL (senilai kira-kira $115,000 pada saat itu) telah meninggalkan wallet. Keseragaman jumlah dan waktu sangat kuat mengindikasikan adanya skrip atau bot yang menangani ekstraksi tersebut.
Menelusuri Alamat Penyerang di Jaringan Polygon
Penyelidik on-chain segera melacak alamat penerima. Alamat penyerang tidak memiliki riwayat transaksi sebelumnya sebelum insiden, yang umum terjadi pada wallet yang baru dibuat dan digunakan untuk mengeksploitasi. Perusahaan forensik blockchain termasuk Chainalysis dan Arkham Intelligence mulai memberi tag pada alamat terkait dalam 24 jam.
Pernyataan Resmi Polymarket: Kompromi Wallet Internal
Respons Polymarket muncul sekitar enam jam setelah peringatan Bubblemaps. Platform tersebut memublikasikan sebuah pernyataan di X (dulu Twitter) dan blog resminya untuk mengonfirmasi pelanggaran. Pernyataan itu secara eksplisit mencatat bahwa tidak ada saldo pengguna, posisi pasar, atau mekanisme resolusi yang terpengaruh. Polymarket menggambarkan insiden ini sebagai “kompromi private key pada wallet operasional internal.”
Kebocoran Private Key vs Kerentanan Kontrak Pintar
Kerentanan kontrak pintar berarti kode yang mengatur fungsi inti platform memiliki celah yang bisa dimanfaatkan penyerang. Kompromi private key berarti seseorang memperoleh akses ke kunci kriptografis yang mengendalikan wallet tertentu. Kontrak pintar platform berfungsi persis seperti yang dirancang; masalahnya adalah pihak yang tidak berwenang mendapatkan kredensial untuk satu alamat tertentu.
Audit kontrak pintar Polymarket yang paling baru, yang dilakukan oleh Trail of Bits pada awal 2026, tidak menemukan kerentanan kritis. Hasil audit tersebut mengonfirmasi integritas kode yang mengatur dana pengguna.
Peran Wallet Operasional dalam Payout Hadiah
Wallet yang dikompromikan memiliki fungsi khusus: mendistribusikan imbal hasil liquidity mining dan insentif promosi kepada trader aktif. Wallet ini menampung token POL yang dialokasikan untuk program-program tersebut, bukan USDC atau stablecoin lain yang digunakan untuk posisi pasar.
Wallet ini beroperasi sebagai hot wallet, artinya private key-nya disimpan dengan cara yang memungkinkan transaksi otomatis dan sering. Hot wallet memungkinkan kecepatan dan otomatisasi, tetapi risikonya lebih tinggi karena kuncinya dapat diakses oleh sistem yang terhubung ke internet.
Penilaian Dampak dan Jaminan Keselamatan Pengguna
Kerugian finansial dari insiden ini relatif terbatas. Sekitar $115,000 senilai POL yang dicuri mewakili bagian kecil dari total nilai yang terkunci di Polymarket, yang pada saat pelanggaran melebihi $480 juta. Volume perdagangan harian platform tidak terpengaruh, dan tidak ada pasar yang dijeda atau diganggu.
Isolasi Setoran Pengguna dan Resolusi Pasar
Dana pengguna di Polymarket disimpan di dalam kontrak pintar di Polygon, dikendalikan oleh kode protokol, bukan oleh satu private key mana pun. Setoran, penarikan, dan resolusi pasar semuanya dijalankan melalui kontrak-kontrak ini. Wallet operasional yang dikompromikan tidak memiliki otoritas atas fungsi-fungsi tersebut.
Wallet operasional hanya bisa mengirim POL untuk hadiah; ia tidak bisa berinteraksi dengan saldo pengguna, mengubah parameter pasar, atau memicu resolusi.
Status Terkini Operasi Platform dan Likuiditas
Hingga saat naskah ini ditulis, Polymarket beroperasi sepenuhnya. Distribusi hadiah sempat dijeda sementara tim melakukan rotasi kunci dan menerapkan wallet pengganti. Platform mengonfirmasi bahwa hadiah yang masih terutang kepada pengguna akan dipenuhi dari alokasi treasury terpisah.
Likuiditas di seluruh pasar utama, termasuk pasar prediksi politik AS dan kontrak acara global, tetap stabil. Tidak terjadi lonjakan penarikan yang signifikan dalam 48 jam setelah pengungkapan.
Implikasi Keamanan untuk Pasar Prediksi Terdesentralisasi
Hack ini memunculkan pertanyaan tentang bagaimana pasar prediksi mengelola ketegangan antara desentralisasi dan kemudahan operasional. Polymarket beroperasi secara hibrida: mekanisme pasar intinya berjalan di smart contract, tetapi fungsi pendukung bergantung pada infrastruktur yang lebih tradisional dan terpusat.
Risiko Wallet Operasional Terpusat
Setiap wallet yang dikendalikan oleh satu private key adalah target. Vektor serangan umum mencakup mesin pengembang yang terkompromi atau lingkungan cloud tempat kunci disimpan, serangan phishing yang menarget anggota tim yang memiliki akses wallet, ancaman insider, dan serangan rantai pasok pada perangkat lunak manajemen kunci.
Insiden Polymarket belum dikaitkan dengan vektor tertentu, meskipun platform menyatakan investigasi masih berlangsung dengan bantuan perusahaan keamanan eksternal.
Praktik Terbaik untuk Mengurangi Paparan Hot Wallet
Beberapa praktik dapat mengurangi risiko dan dampak kompromi hot wallet:
- Gunakan wallet multisig untuk alamat apa pun yang memegang nilai signifikan, termasuk wallet operasional
- Terapkan batas pengeluaran yang membatasi jumlah yang dapat dipindahkan oleh satu transaksi atau dalam satu periode waktu
- Putar kunci secara teratur dan setelah perubahan personel apa pun
- Simpan kunci hot wallet dalam hardware security module, bukan solusi berbasis perangkat lunak
- Pantau arus keluar secara real time dengan peringatan otomatis yang disetel untuk mendeteksi pola yang tidak normal
Polymarket telah menunjukkan bahwa pihaknya akan mengadopsi beberapa langkah ini untuk wallet operasional pengganti, termasuk persyaratan multisig dan batas pengeluaran per transaksi.
Pemantauan Berkelanjutan dan Langkah Remediasi Masa Depan
Polymarket berkomitmen untuk memublikasikan post-mortem lengkap dalam 30 hari, termasuk akar penyebab kebocoran kunci, timeline rinci, dan langkah remediasi spesifik yang diterapkan.
Respons platform sebagian besar transparan, menetapkan preseden positif. Saat platform seperti Polymarket dan Kalshi bersaing memperebutkan pangsa pasar, insiden keamanan akan semakin membentuk kepercayaan pengguna dan persepsi regulasi. Pelanggaran yang ditangani dengan baik—dengan pengungkapan cepat, komunikasi yang jelas, dan bukti penahanan yang nyata—dapat memperkuat kredibilitas sebuah platform.
