Polymarket ha sospeso gli scambi sulla sua piattaforma internazionale per quasi un’ora giovedì 29 ottobre, dopo quella che ha definito la compromissione di uno dei suoi fornitori terzi. La società di analisi blockchain Arkham ha ricondotto a un indirizzo di sospetto attaccante circa 2,65 milioni di dollari sottratti ai portafogli degli utenti, secondo smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il sito The Block, citato da NBC News. Polymarket afferma che rimborserà tutti i trader colpiti, ma non ha detto quanti siano.
Questo hack di Polymarket è il secondo da giugno in cui gli utenti perdono denaro a causa di codice che, secondo l’azienda, proveniva da un fornitore esterno. A giugno uno script malevolo servito attraverso il sito da un fornitore compromesso aveva svuotato circa 3 milioni di dollari dai conti di oltre 11 vittime, secondo The Next Web. Stavolta gli intrusi sarebbero entrati tramite il software di DebugBear, uno strumento di analisi web e monitoraggio delle prestazioni, secondo NBC, che cita una persona a conoscenza dei fatti rimasta anonima. Polymarket non ha indicato il nome del fornitore.
La piattaforma è uno dei due colossi dei mercati predittivi, descritta nella nostra pagina dedicata al progetto Polymarket, ed era già sotto osservazione questa settimana per scommesse sospette. La piattaforma statunitense non risulterebbe coinvolta, ha riferito NBC.
Un’ora in modalità solo annullamento il 29 ottobre
DebugBear ha dichiarato su X di gestire un «incidente di sicurezza in corso» a partire dalle 14 circa, ora della costa orientale degli Stati Uniti, cioè le 18:00 UTC, ha riferito NBC. Quella dichiarazione, per come è stata riportata, non cita Polymarket, e Polymarket non ha fatto il nome di DebugBear. Il collegamento tra i due poggia sulla fonte anonima di NBC.
Alle 18:05 UTC la pagina di stato di Polymarket ha registrato un’interruzione grave del servizio Predictions e della Trading API, come riportato anche da BlockchainReporter. La piattaforma è passata alla modalità solo annullamento (cancel-only): i trader potevano ritirare gli ordini aperti ma non piazzare nuove scommesse. Polymarket ha messo in pausa anche il relayer, il servizio che raccoglie le transazioni firmate dagli utenti nel browser e le invia alla blockchain Polygon. «Le operazioni del relayer sono sospese mentre indaghiamo», ha scritto la società su X.
Un minuto dopo, alle 18:06 UTC, l’account di stato di Polymarket su X, Poly_Status, ha aperto un thread con lo stesso avviso: la piattaforma era in modalità solo annullamento e le operazioni del relayer erano sospese mentre il team indagava su «un incidente». In quella fase il post parlava soltanto di un’interruzione, senza alcun cenno a una violazione.
La spiegazione è arrivata alle 18:37 UTC con un aggiornamento sulla pagina di stato, che NBC ha citato tra i messaggi di Polymarket: «Uno dei nostri fornitori terzi è stato compromesso e abbiamo segnalato il caso alle autorità competenti». Lo stesso aggiornamento diceva che il problema era stato «identificato e risolto» su Polymarket.com e che, «per eccesso di cautela», gli scambi restavano sospesi mentre il team riportava online la piattaforma. Polymarket ha aggiunto che l’attacco sembrava provenire dal Regno Unito e ha segnalato il caso alla polizia britannica.
Alle 18:55 UTC la pagina di stato ha annunciato che gli scambi sarebbero ripresi intorno alle 15 ora di New York (ET), e l’incidente è stato dichiarato risolto alle 19:05 UTC, un’ora dopo l’inizio dell’interruzione. Anche NBC riferisce che gli scambi sono ripartiti alle 15 ET. Un articolo di BlockchainReporter pubblicato più tardi nella giornata descriveva ancora la modalità solo annullamento, ma il registro di Polymarket indica la fine dello stop alle 19:05 UTC.
Circa 2,65 milioni di dollari sottratti, ma nessun conteggio delle vittime
L’unica cifra di perdita disponibile finora è quella di Arkham, riportata da The Block e ripresa da NBC: circa 2,65 milioni di dollari sottratti ai portafogli degli utenti. Un rappresentante di Polymarket non ha voluto commentare il dato né la natura esatta dell’attacco. Nei suoi post pubblici l’azienda non ha confermato che gli utenti abbiano perso denaro, ma ha scritto che «chiunque sia stato colpito sarà risarcito per intero».
Arkham attribuisce al sospetto attaccante l’indirizzo 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, che deteneva circa 2,65 milioni di dollari in POL, il token nativo di Polygon, dopo una serie di scambi da USDC.e a POL instradati tramite il protocollo Relay, secondo BlockchainReporter. I fondi sono stati poi spostati su altri indirizzi. Quando abbiamo controllato l’indirizzo su Polygonscan la mattina del 30 ottobre, conteneva quasi nulla: una frazione di POL e circa 11 USDC.e. Le sue 39 transazioni cadono tutte il 29 ottobre, tra le 17:50 e le 18:55 UTC circa, secondo gli orari dell’explorer. Le prime, dalle 17:50 alle 17:56 UTC, sono trasferimenti attraverso il contratto Conditional Tokens di Polymarket, quello che custodisce le posizioni dei trader. Sono circa dieci minuti prima dei primi allarmi pubblici.
Nessuno all’esterno dell’azienda sa quanti trader siano stati colpiti. Segnalazioni non confermate sul Discord di Polymarket descrivevano portafogli svuotati, ha detto NBC. Un trader che scrive come CarOnPolymarket ha dichiarato di aver perso 800.000 dollari e che un amico ne ha persi circa 600.000, secondo BlockchainReporter. Se le due testimonianze reggono, da sole valgono 1,4 milioni di dollari, poco più della metà del totale di Arkham. Polymarket non ha confermato nessuna delle due.
Come lo script ha preso di mira i trader connessi, secondo Hudson Rock
Il resoconto più dettagliato del meccanismo viene dalla società di sicurezza Hudson Rock, riportato da BlockchainReporter. Non siamo riusciti a leggere l’analisi originale di Hudson Rock, quindi la descrizione che segue è di seconda mano. Stando a quel resoconto, uno script caricato dal fornitore esterno cercava nella pagina la sessione di trading di un utente connesso, tentava di vendere le sue posizioni e poi di trasferirne il ricavato. Lo stesso portafoglio dell’attaccante era scritto nello script come destinatario di riserva.
Gli strumenti di monitoraggio delle prestazioni funzionano inserendo nelle pagine del cliente un piccolo frammento di JavaScript che misura tempi di caricamento ed errori. Quello script gira nel browser del visitatore con gli stessi accessi del codice del sito. Se qualcuno lo manomette alla fonte, ogni sito che lo carica serve la versione alterata, senza che i suoi server vengano toccati. I ricercatori di sicurezza lo chiamano attacco alla catena di fornitura lato client.
Per questo l’attacco non ha avuto bisogno della frase di recupero o della chiave privata di nessuno. Un trader connesso e con la pagina aperta bastava, se il resoconto di Hudson Rock è corretto. BlockchainReporter scrive che i contratti principali di Polymarket non sono stati violati. Il nostro approfondimento su dove avvengono davvero gli hack crypto spiega perché è il sito web, e non la blockchain in sé, il punto in cui si perde la maggior parte del denaro.
Molto resta ignoto. DebugBear non ha confermato che il suo software sia stato la via d’ingresso, come sostiene la fonte di NBC. Nessuno ha spiegato come sia stato compromesso il fornitore, quali altri siti caricassero lo stesso script o se continuasse a essere servito dopo l’allarme.
Il secondo attacco tramite fornitore da giugno, la terza perdita del 2026
L’incidente di giovedì somiglia molto a quello del 25 giugno. Allora il codice di un fornitore terzo era stato manomesso e uno script malevolo aveva raggiunto alcuni utenti attraverso il front end di Polymarket, ha riferito The Next Web. PeckShield stimò le perdite in circa 3 milioni di dollari in pUSD, il token in dollari di Polymarket; l’attaccante trasferì i fondi da Polygon a Ethereum e li convertì in circa 1.893 ETH. Anche quel fornitore non fu nominato da Polymarket, che rimborsò le vittime per intero.
Un mese prima, il 22 maggio, il problema era interno. Un attaccante aveva svuotato un indirizzo di Polymarket su Polygon che l’azienda descriveva come un portafoglio usato per operazioni interne di ricarica. L’investigatore ZachXBT lo notò quando erano spariti circa 520.000 dollari; il totale arrivò a circa 700.000. Il vicepresidente dell’ingegneria di Polymarket disse che la chiave aveva sei anni, secondo Web3 Is Going Just Great.
E nel dicembre 2025 diversi utenti avevano segnalato tentativi di accesso seguiti da posizioni chiuse e saldi azzerati. Polymarket aveva attribuito la colpa a «una vulnerabilità introdotta da un fornitore terzo di autenticazione», che non ha nominato, secondo The Block.
| Data | Cosa ha ceduto | Perdita riferita | Account colpiti |
|---|---|---|---|
| Dicembre 2025 | Fornitore terzo di login (non nominato) | Non resa nota | «Un piccolo numero di utenti» |
| 22 maggio 2026 | Chiave privata di un portafoglio interno di ricarica | Circa 700.000 dollari | Portafoglio aziendale |
| 25 giugno 2026 | Script di un fornitore compromesso (non nominato) | Circa 3 milioni di dollari (PeckShield) | Meno di 15 |
| 29 ottobre 2026 | Script di terzi (DebugBear, secondo una fonte di NBC) | Circa 2,65 milioni di dollari (Arkham) | Non resi noti |
Tre di questi quattro casi sono passati da software che Polymarket non ha scritto. Gli ultimi due seguono lo stesso schema: uno script caricato nelle pagine di trading, non un difetto degli smart contract.
Rimborsi promessi, non ancora pagati
«Rimedieremo e rimborseremo per intero tutti i trader colpiti», ha scritto Polymarket in un post successivo citato da NBC. Al momento del resoconto di BlockchainReporter nessun rimborso era stato confermato, e l’azienda non aveva detto come sarebbe stato calcolato il risarcimento né quando sarebbe arrivato. Il precedente di giugno gioca a favore degli utenti, perché quelle perdite furono rimborsate.
Polymarket non è l’unica piattaforma di previsioni a promettere rimborsi questa settimana. Due giorni prima, Predict.fun aveva promesso di risarcire gli utenti dopo l’uscita di circa 400.000 USDT dai loro portafogli.
Cosa significa lo stop per Polymarket e per i suoi trader
Polymarket è stata valutata 21 miliardi di dollari a settembre, dopo che gli investitori guidati da Donald Trump Jr. hanno versato 1 miliardo, e gestisce circa 200 milioni di dollari di scambi al giorno, secondo NBC. Un’ora di stop è una piccola fetta di quel volume. Il costo maggiore è la fiducia: tre perdite in circa cinque mesi, due delle quali attraverso codice esterno, su una piattaforma che chiede agli utenti di tenere i soldi sul proprio sito per scommettere.
Il momento è scomodo. Questa settimana la società ha detto di aver esaminato «dozzine» di scommesse sospette sulle elezioni di metà mandato, e Bloomberg ha riferito che indaga su scommesse legate alle elezioni in Israele. I mercati predittivi sono anche al centro di uno scontro tra gli Stati e il governo federale americano su chi debba regolarli, inasprito dalle accuse penali dello Utah contro Kalshi e i suoi fondatori.
Per chi usa il sito internazionale, quel che si sa è poco. Lo script, come lo descrive Hudson Rock, prendeva di mira gli utenti con una sessione aperta e connessa: chi ha usato Polymarket.com intorno alle 18:00 UTC del 29 ottobre farà bene a confrontare cronologia degli ordini e saldi con quanto si aspetta. Polymarket non ha detto se gli utenti colpiti dovranno presentare una richiesta o saranno contattati, come accadde a giugno.
Cosa osservare nei prossimi giorni
I prossimi fatti dovrebbero arrivare da quattro parti. DebugBear non ha ancora pubblicato una ricostruzione di quanto accaduto e di quali clienti siano stati esposti. L’analisi originale di Hudson Rock confermerebbe o correggerebbe la descrizione di seconda mano dello script. Polymarket deve agli utenti un post-mortem, il numero delle vittime e una data per i rimborsi. La polizia britannica, a cui il caso è stato segnalato, finora non ha detto nulla in pubblico.
On-chain, gli investigatori seguiranno i POL usciti dall’indirizzo dell’attaccante il 29 ottobre. L’altra questione aperta riguarda la progettazione: se Polymarket manterrà script di terzi nelle pagine in cui gli utenti scambiano con denaro reale, dopo due incidenti in cui i soldi sono usciti proprio da lì.