Polymarket sotto attacco hacker: svuotati oltre 700 portafogli, rubati 2,7 milioni di dollari
Un attacco informatico ha colpito Polymarket, la piattaforma di mercati predittivi che permette di negoziare contratti sull’esito di eventi futuri. Il 29 ottobre 2026, gli hacker sono riusciti a sottrarre criptovalute per un valore stimato di 2,7 milioni di dollari, colpendo oltre 700 account. Il furto non è avvenuto attraverso una violazione diretta della blockchain, ma sfruttando uno script JavaScript fornito da un servizio esterno e caricato nel sito.
La società ha sospeso temporaneamente le negoziazioni sulla propria piattaforma internazionale, ha dichiarato di aver individuato e corretto il problema e ha promesso di rimborsare integralmente gli utenti danneggiati. Le cifre diffuse dagli analisti restano stime indipendenti: Polymarket non ha ancora confermato ufficialmente il numero definitivo degli account coinvolti né l’importo totale sottratto.
Oltre 700 account colpiti: quanto hanno rubato gli hacker
Secondo le ricostruzioni di società specializzate nell’analisi delle blockchain, l’attacco avrebbe interessato circa 700 utenti, con perdite complessive vicine ai 2,7 milioni di dollari. Un’analisi di Bitquery parla più precisamente di 737 account e 985 prelievi non autorizzati, per un valore stimato di 2,73 milioni di dollari.
Altre verifiche condotte sui movimenti della blockchain Polygon hanno individuato un portafoglio associato al sospetto aggressore che avrebbe ricevuto circa 28,6 milioni di token POL, valutati intorno a 2,57 milioni di dollari al momento dell’analisi. Le differenze tra le cifre dipendono dai metodi di ricostruzione e dai movimenti dei fondi: non è corretto considerarle importi definitivi.
L’incidente ha interessato la piattaforma internazionale Polymarket.com. La versione statunitense, che opera separatamente, non risulta coinvolta nelle ricostruzioni disponibili.
Come è avvenuto il furto: lo script esterno compromesso
L’origine dell’attacco è stata ricondotta a DebugBear, un servizio utilizzato per monitorare le prestazioni e l’esperienza degli utenti sui siti web. Strumenti di questo tipo possono caricare codice JavaScript direttamente nelle pagine per raccogliere dati tecnici, come i tempi di caricamento.
In questo caso, gli aggressori avrebbero compromesso il componente distribuito dal fornitore, trasformandolo in uno script capace di sottrarre criptovalute. Il codice malevolo veniva eseguito nel browser di chi visitava Polymarket e cercava le sessioni di trading già autenticate.
Una volta individuato un utente connesso, lo script controllava saldo e posizioni aperte, quindi tentava di sfruttare le normali funzioni della piattaforma per vendere contratti o trasferire asset verso portafogli controllati dagli aggressori. In alcuni casi cercava anche di convertire le criptovalute in asset più facili da spostare.
È un esempio di attacco alla catena di fornitura software, o supply chain attack: il bersaglio diretto è un componente esterno di cui il sito si fida. Chi utilizza il servizio finale può così essere esposto anche se il codice principale della piattaforma non è stato compromesso.
Perché gli utenti potevano perdere denaro senza autorizzare nuovi prelievi
Il punto più delicato riguarda il modo in cui il codice dannoso ha sfruttato le sessioni già aperte. Un utente che aveva effettuato l’accesso poteva essere riconosciuto dallo script come già autenticato, consentendo al malware di tentare operazioni attraverso i meccanismi esistenti.
Le analisi tecniche indicano che il codice cercava percorsi diversi in base alla modalità di autenticazione e al tipo di asset detenuto. Per alcune posizioni tentava una vendita automatica; per altre cercava di trasferire direttamente i token o di convertire i saldi disponibili.
Questo non significa che ogni wallet collegato a Polymarket fosse automaticamente vulnerabile o che tutti gli utenti abbiano subito una perdita. Le conseguenze dipendevano dalla sessione, dalle autorizzazioni disponibili e dal funzionamento del portafoglio utilizzato. Resta però evidente che un componente inserito in una pagina può diventare un punto d’ingresso estremamente pericoloso quando interagisce con operazioni finanziarie.
Leggi anche:
Polymarket sospende gli scambi e promette i rimborsi
Dopo le prime segnalazioni di prelievi non autorizzati, Polymarket ha attivato una modalità di emergenza nella quale era possibile annullare gli ordini, ma non inserirne di nuovi o completare normali operazioni di trading. Sono state sospese anche alcune funzionalità utilizzate per inoltrare le transazioni.
La piattaforma ha successivamente comunicato di aver individuato e risolto il problema e ha sospeso per precauzione le negoziazioni durante ulteriori verifiche. Secondo la cronologia ricostruita da BleepingComputer, il servizio è tornato operativo intorno alle 15:05, ora della costa orientale degli Stati Uniti, il 29 ottobre.
Polymarket ha dichiarato che tutti gli utenti danneggiati saranno rimborsati integralmente. Al momento delle prime comunicazioni non erano però stati chiariti pubblicamente tutti i dettagli della procedura, i tempi di accredito e l’importo complessivo che l’azienda avrebbe dovuto restituire.
L’incidente è stato segnalato alle autorità competenti. Il fornitore DebugBear ha a sua volta riconosciuto un problema di sicurezza e ha invitato i clienti che utilizzavano il suo servizio di monitoraggio a rimuovere temporaneamente lo script incorporato nei siti.
Che cos’è Polymarket e perché gli hacker l’hanno presa di mira
Polymarket è una piattaforma di mercati predittivi: permette agli utenti di acquistare e vendere posizioni legate a risultati futuri, per esempio eventi politici, economici, sportivi o di attualità. I prezzi dei contratti cambiano in base alla domanda e all’offerta e vengono spesso interpretati come una misura delle aspettative dei partecipanti.
Il funzionamento coinvolge asset digitali e infrastrutture blockchain, con una parte dell’esperienza gestita attraverso il sito web. Proprio questa combinazione rende importante proteggere sia i contratti e i portafogli sia l’interfaccia che consente agli utenti di interagire con il denaro.
Un attacco che colpisce il browser può aggirare alcune aspettative di sicurezza: l’utente pensa di operare sul sito legittimo, ma un componente di terze parti può eseguire istruzioni non previste. È un rischio che non riguarda soltanto Polymarket, ma in generale i servizi finanziari che caricano codice esterno nelle pagine.
Come controllare il proprio account dopo l’attacco
Se hai utilizzato la piattaforma internazionale durante la finestra dell’incidente, la prima cosa da fare è verificare lo storico delle operazioni e confrontarlo con le transazioni visibili sul wallet e sulla blockchain. Controlla eventuali vendite, conversioni o trasferimenti che non riconosci.
Per comunicazioni su rimborsi e stato del servizio, utilizza soltanto i canali ufficiali di Polymarket. Evita messaggi privati, collegamenti ricevuti via chat o siti che chiedono di collegare il wallet per ottenere un presunto rimborso immediato. Un aggressore potrebbe sfruttare la notizia per diffondere nuove truffe.
Se sospetti che il tuo portafoglio sia stato esposto, verifica le autorizzazioni concesse ai contratti e valuta con attenzione la revoca di quelle non più necessarie. Cambiare password o attivare l’autenticazione a più fattori, quando disponibile, può essere utile per la sicurezza dell’account, ma non annulla automaticamente autorizzazioni blockchain già concesse né recupera fondi trasferiti.
Non è il primo incidente: il problema dei fornitori esterni
L’attacco del 29 ottobre arriva dopo un altro episodio di sicurezza che aveva coinvolto Polymarket nel giugno 2026, anche in quel caso associato a un fornitore esterno e a perdite per gli utenti. La ripetizione di incidenti legati a componenti di terze parti richiama l’attenzione sui controlli che le piattaforme devono applicare ai servizi integrati.
Per chi sviluppa siti che gestiscono operazioni finanziarie, il caso mostra perché è essenziale limitare le capacità del codice esterno, controllare le dipendenze e separare il più possibile i componenti di monitoraggio dalle funzioni che possono autorizzare trasferimenti.
Per chi utilizza queste piattaforme, la lezione è altrettanto concreta: la sicurezza di una blockchain non garantisce da sola la sicurezza dell’intera esperienza. Anche un normale script di analisi delle prestazioni può diventare un rischio quando viene compromesso e opera all’interno di una sessione autenticata.
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.