Polymarket sotto attacco hacker: rubati 2,7 milioni di dollari, utenti risarciti
Un semplice script utilizzato per monitorare le prestazioni di un sito web è diventato la porta d’ingresso per rubare milioni di dollari in criptovalute. È quanto accaduto il 29 ottobre 2026 a Polymarket, piattaforma di mercati predittivi costretta a interrompere temporaneamente gli scambi sul proprio servizio internazionale dopo che alcuni utenti avevano segnalato prelievi non autorizzati. Gli aggressori non hanno dovuto compromettere direttamente i sistemi centrali della piattaforma: hanno manipolato un componente software fornito da un’azienda esterna, sfruttando le sessioni già aperte per vendere posizioni e trasferire denaro.
Il bilancio confermato da Polymarket è di 2,7 milioni di dollari sottratti, ai quali la società ha aggiunto altri 1,2 milioni di dollari di compensazioni per le perdite legate all’interruzione degli scambi. In totale, la piattaforma ha annunciato 3,9 milioni di dollari di rimborsi. Il caso mostra quanto possa essere fragile la sicurezza di un servizio finanziario quando una parte del suo funzionamento dipende da codice esterno eseguito direttamente nel browser degli utenti.
Cosa è successo il 29 ottobre: Polymarket ferma gli scambi
Le prime segnalazioni sono arrivate da utenti che avevano visto sparire fondi dai propri portafogli senza aver autorizzato i trasferimenti. Polymarket ha riconosciuto un’attività anomala e ha limitato temporaneamente la piattaforma internazionale alla modalità cancel-only, che permette di annullare ordini ma non di aprirne di nuovi. Anche alcune funzioni tecniche di esecuzione delle operazioni sono state sospese.
Il blocco è stato una misura precauzionale per impedire ulteriori sottrazioni durante le verifiche. Una volta individuato e rimosso il componente compromesso, la società ha ripristinato gli scambi. La sospensione è stata temporanea: non significa che Polymarket sia rimasta chiusa dopo l’incidente. La piattaforma statunitense separata, Polymarket US, non è stata coinvolta.
Secondo le analisi circolate dopo l’attacco, circa 700 portafogli potrebbero essere stati interessati. Si tratta però di una stima ricavata dall’osservazione delle transazioni e non di un numero ufficiale definitivo di persone colpite comunicato dalla società.
La falla era in DebugBear, un servizio esterno per monitorare i siti
Il punto d’ingresso dell’attacco è stato identificato in DebugBear, fornitore di strumenti per misurare e analizzare le prestazioni dei siti web. Polymarket caricava sulle proprie pagine uno script di monitoraggio del servizio. Gli aggressori sono riusciti a sostituire quel codice con una versione malevola, che veniva eseguita dai browser degli utenti mentre navigavano sul sito.
Il dettaglio è decisivo: quando una pagina carica uno script esterno, quel codice può interagire con elementi e funzioni della pagina stessa, nei limiti delle protezioni applicate. Se il fornitore viene compromesso, il sito che utilizza il suo script può diventare un veicolo dell’attacco pur non essendo stato violato direttamente. È una forma di attacco alla catena di fornitura del software, nota come supply chain attack.
DebugBear ha dichiarato che le prime verifiche indicavano una compromissione legata al registrar del proprio dominio, senza prove iniziali di una violazione dei sistemi interni. Ha inoltre avvertito i clienti che utilizzavano il suo prodotto di monitoraggio Real User Monitoring di rimuovere temporaneamente il codice incorporato nei loro siti. Le indagini sulla dinamica completa sono proseguite dopo l’incidente.
Come gli hacker hanno svuotato i portafogli senza chiedere la password
La ricostruzione pubblicata da Polymarket spiega che il codice malevolo prendeva di mira chi aveva il sito aperto durante una finestra temporale limitata. Invece di convincere le vittime a inserire le credenziali in una pagina falsa, lo script sfruttava la sessione già autenticata dell’utente per effettuare operazioni non autorizzate.
Per alcune vittime il programma ha venduto posizioni detenute sulla piattaforma, quindi ha trasferito il ricavato fuori dai portafogli. Altri account hanno subito movimenti diretti di asset. Questo meccanismo è particolarmente insidioso perché l’utente può aver effettuato correttamente l’accesso al sito autentico e non aver cliccato su collegamenti sospetti.
Non si tratta quindi del classico phishing basato su una password rubata. È un esempio di come il codice eseguito all’interno di una sessione legittima possa diventare pericoloso quando viene alterato. Un’interfaccia affidabile non basta a garantire che tutti i componenti caricati dalla pagina siano sicuri.
Leggi anche:
Rimborsi per 3,9 milioni: cosa ha promesso Polymarket
Nel resoconto ufficiale successivo all’incidente, Polymarket ha annunciato che avrebbe restituito 2,7 milioni di dollari per i fondi sottratti direttamente. A questa cifra ha aggiunto 1,2 milioni di dollari per compensare ulteriori perdite economiche connesse al blocco degli scambi.
Le compensazioni aggiuntive comprendono le posizioni liquidate o vendute forzatamente durante l’attacco, considerando il loro valore al momento della sottrazione, e alcuni casi in cui gli utenti hanno subito perdite perché il mercato è terminato durante la sospensione o perché hanno venduto immediatamente dopo la riapertura.
Secondo l’aggiornamento pubblicato il 30 ottobre, il 95% dei portafogli interessati risultava già rimborsato integralmente. La società ha spiegato di aver identificato i destinatari utilizzando dati blockchain e registrazioni delle operazioni, senza richiedere l’apertura di un ticket per ricevere automaticamente il rimborso previsto. Per eventuali discrepanze è stata indicata una procedura di verifica.
Non è il primo attacco: i precedenti del 2026
L’episodio di ottobre non è isolato. Già nel giugno 2026 Polymarket aveva affrontato un incidente di sicurezza che aveva coinvolto un altro fornitore esterno e il frontend della piattaforma. In quel caso erano stati segnalati oltre 2 milioni di dollari di perdite, con alcune ricostruzioni che indicavano importi ancora più elevati.
La ripetizione degli incidenti rende evidente un problema strutturale: proteggere l’infrastruttura principale non è sufficiente se gli strumenti esterni caricati nelle pagine possono accedere a funzioni sensibili. Servizi di analisi, monitoraggio e ottimizzazione sono comuni sul web, ma sulle piattaforme che gestiscono denaro il loro utilizzo richiede controlli particolarmente rigorosi.
Polymarket ha dichiarato di aver rafforzato le protezioni sui componenti esterni attraverso controlli di integrità, versioni vincolate degli script, misure di isolamento, una politica di sicurezza dei contenuti più restrittiva e monitoraggio continuo. Ha inoltre azzerato le sessioni di accesso attive durante la risposta all’incidente.
Cosa deve controllare chi utilizza portafogli e piattaforme crypto
Se utilizzi servizi che collegano un portafoglio digitale a un’applicazione web, è importante verificare periodicamente transazioni, autorizzazioni concesse ai contratti e attività recenti. Se noti movimenti sconosciuti, interrompi le operazioni e consulta esclusivamente i canali ufficiali della piattaforma e del tuo wallet.
La revoca delle autorizzazioni non necessarie può ridurre alcuni rischi, ma non è una garanzia universale contro tutti gli attacchi che sfruttano sessioni già aperte. È utile anche evitare di lasciare inutilmente attive sessioni su servizi finanziari e valutare, quando possibile, la separazione tra un portafoglio usato per operazioni frequenti e uno destinato alla conservazione dei fondi.
Non fidarti di messaggi privati che promettono di recuperare criptovalute sottratte: le truffe di falso recupero possono colpire proprio chi ha già subito una perdita. Per le informazioni sui rimborsi, fai riferimento agli avvisi pubblicati direttamente dalla piattaforma.
La lezione più preoccupante: il sito può essere autentico e il codice malevolo
L’incidente Polymarket mostra un limite spesso sottovalutato della sicurezza digitale. Un utente può digitare l’indirizzo corretto, utilizzare un sito legittimo e non comunicare la propria password a nessuno, ma essere comunque esposto se un componente di terze parti eseguito dal sito viene compromesso.
Per le piattaforme che gestiscono denaro, questo significa dover considerare ogni dipendenza esterna come un possibile punto di ingresso. Per gli utenti, significa comprendere che la sicurezza non dipende soltanto dai propri comportamenti: dipende anche dalle decisioni tecniche e dai controlli adottati da chi gestisce il servizio.
Polymarket ha ripristinato gli scambi e promesso i rimborsi, ma resta la domanda fondamentale: quanti altri servizi finanziari eseguono codice esterno con privilegi sufficienti a trasformare un problema del fornitore in una perdita per i clienti?
Ti potrebbe interessare:
Segui guruhitech su:
- Google News: bit.ly/gurugooglenews
- Telegram: t.me/guruhitech
- Facebook: facebook.com/guruhitechfb
- Instagram: instagram.com/guruhitech_official/
- X (Twitter): x.com/guruhitech1
- Bluesky: bsky.app/profile/guruhitech.bsky.social
- Rumble: rumble.com/user/guruhitech
- VKontakte: vk.com/guruhitech
- MeWe: mewe.com/i/guruhitech
- Skype: live:.cid.d4cf3836b772da8a
- WhatsApp: bit.ly/whatsappguruhitech
Esprimi il tuo parere!
Che ne pensi di questa notizia? Lascia un commento nell’apposita sezione che trovi più in basso e se ti va, iscriviti alla newsletter.
Per qualsiasi domanda, informazione o assistenza nel mondo della tecnologia, puoi inviare una email all’indirizzo [email protected].
Scopri di più da GuruHiTech
Abbonati per ricevere gli ultimi articoli inviati alla tua e-mail.