L’hack di Polymarket sale a 3,1 milioni di dollari nonostante la promessa di rimborsi completi

L’attacco ha colpito 11 account tramite una campagna di phishing e un fornitore compromesso. Polymarket dice di aver risolto la vulnerabilità e di stare organizzando i rimborsi in PUSD per gli utenti colpiti.

In breve

• Polymarket è finito nel mirino di un hack che ha portato al furto di circa 3,1 milioni di dollari in token PUSD da 11 account di utenti.
• L’attacco è partito da una campagna di phishing e da un fornitore compromesso, che avrebbe inserito codice malevolo nel frontend della piattaforma.
• Polymarket sostiene di aver già risolto la vulnerabilità e promette il rimborso completo in PUSD agli utenti coinvolti.

Polymarket, piattaforma decentralizzata di prediction markets, è stata colpita da un attacco su larga scala che ha portato al furto di circa 3,1 milioni di dollari in token PUSD degli utenti. Gli aggressori hanno preso di mira 11 account con una campagna di phishing, poi gli asset sottratti sono stati spostati da Polygon verso Ethereum.

Dettagli dell’attacco e risposta di Polymarket

L’incidente è emerso dopo che un fornitore terzo di Polymarket è stato compromesso e ha finito per inserire uno script malevolo nel frontend della piattaforma per alcuni utenti. Polymarket dice di aver già corretto il problema, rimuovendo la dipendenza coinvolta, e di aver contattato gli utenti colpiti con la promessa di un rimborso completo in PUSD, il token nativo usato per tutte le transazioni sulla piattaforma.

La società di sicurezza blockchain PeckShield ha segnalato che la campagna di phishing ha causato il furto iniziale di circa 1.893 ETH, pari a quasi 3 milioni di dollari. In seguito, l’ammontare della perdita è stato rivisto da AMLBot a 3,1 milioni di dollari. Una delle vittime ha raccontato l’accaduto sui social, spiegando che il proprio wallet è stato compromesso senza riuscire a capire in che modo.

Problemi di sicurezza recenti e indagine

Questo non è il primo episodio di sicurezza che riguarda Polymarket. A marzo era già emersa una possibile violazione, con oltre 520.000 dollari sottratti da due smart contract sulla blockchain Polygon. In quell’occasione Polymarket aveva assicurato che i fondi erano al sicuro. Ancora prima, a dicembre, la piattaforma aveva segnalato un altro incidente di sicurezza tramite Discord, dopo che alcuni utenti avevano denunciato fondi spariti e tentativi di accesso sospetti. Anche in quel caso, il problema era stato ricondotto a una terza parte che forniva servizi di login.

Nel frattempo, Polymarket è sotto la lente federale dopo le accuse di pratiche di marketing fuorvianti sui social media, con utenti profilati in base ai profitti. L’indagine arriva dopo precedenti sanzioni e restrizioni, tra cui la multa da 1,4 milioni di dollari inflitta nel 2022 dalla Commodity Futures Trading Commission (CFTC) degli Stati Uniti per aver offerto contratti binari senza le licenze corrette.

Perché conta per gli utenti crypto europei

Anche se Polymarket è tornato di recente sul mercato statunitense grazie all’acquisizione di una borsa con licenza CFTC, la piattaforma continua a essere sotto pressione anche fuori dagli USA. In diversi Paesi, tra cui Francia, Brasile e India, Polymarket è vietato per i dubbi sul rispetto delle norme su gioco d’azzardo e scommesse. Per gli utenti crypto europei, questo caso ricorda quanto sia importante mantenere alta l’attenzione quando si usano piattaforme decentralizzate e quanto resti elevato il rischio di phishing, soprattutto in un settore in cui regolamentazione e sicurezza sono ancora in evoluzione. Il quadro si inserisce in una tendenza più ampia, in cui gli attacchi sfruttano sempre più spesso debolezze umane e operative invece di un errore nel codice, come mostra anche la sicurezza crypto richiede più dei soli audit per evitare perdite.