Kötü niyetli script enjeksiyonu kullanıcıların 2,5 milyon dolarını boşaltmasının ardından Polymarket işlemleri durdurdu

Ne oldu

Merkeziyetsiz tahmin marketi platformu Polymarket, kullanıcı fonlarından yaklaşık 2,5 milyon doların boşaltılmasıyla sonuçlanan bir saldırının ardından tüm işlemleri askıya aldı. 29 Ekim 2026 tarihinde yayımlanan bir dev.to raporuna göre ihlal, Polymarket'in çekirdek akıllı kontratlarındaki bir açıktan kaynaklanmıyor. Bunun yerine saldırganlar, platformun ziyaretçilere ön yüz kodunu sunmak için kullandığı üçüncü taraf bir servisi ele geçirdi.

Olay 29 Ekim 2026, Perşembe günü gerçekleşti. Polymarket, soruşturma sürerken daha fazla kaybı önlemek için işlemleri durdurdu.

Saldırı nasıl işledi

BleepingComputer'a atıfta bulunan dev.to raporuna göre ele geçirme, saldırganların siteyi ziyaret eden kişilere kötü niyetli bir JavaScript parçacığını yüklemelerine imkân tanıdı. Kod blockchain üzerinde değil kullanıcıların tarayıcılarında çalıştığı için, cüzdanlarla doğrudan etkileşime girebiliyordu.

"Kripto drainer" adı verilen script'ler genellikle kullanıcı etkileşimlerini ele geçirir ve ziyaretçileri zararlı işlemler imzalamaya ya da saldırganın token'larını sınırsızca harcayabilmesine izin veren onaylar vermeye ikna eder. Bir kez imzalandığında transferler zincin gözünde meşru görünür, çünkü hareketi kullanıcı kendisi yetkilendirmiştir — protokoldeki bir kusura gerek yoktur.

Yaklaşık 2,5 milyon dolar değerindeki kripto para, saldırgana ait olduğuna inanılan tek bir cüzdana kadar izlendi.

Neleri belirsiz

dev.to raporu bir dizi açık soruya dikkat çekiyor:

• Ele geçirilen tedarikçi. Ne Polymarket ne de güvenlik araştırmacıları, ihlale uğrayan belirli servisi, kütüphaneyi veya CDN'i kamuoyuna açık bir şekilde adlandırmadı.
• Mağdur sayısı. İzlenen fonlar tek bir cüzdana işaret etse de, etkilenen bireysel kullanıcı sayısı hâlâ değerlendiriliyor.
• Tazminat. Fonların kurtarılıp kurtarılamayacağı ya da Polymarket'in etkilenen kullanıcılar için bir tazminat mekanizması kurup kurmayacağı henüz bilinmiyor.

Geliştiriciler için ders

Olay, tek bir harici script etiketinin ne kadar büyük bir güven taşıdığını gözler önüne seriyor. Başka bir alan adından — analitik araçları, tag yöneticileri, UI widget'ları — kod yüklemek, o alan adına kullanıcılarınızın güvenlik bağlamında kod çalıştırma gücü verir. Bu kodun cüzdan imzaları ve token onayları isteyebildiği bir platformda, üçüncü taraf fiilen anahtarların sahibi olur.

Standart savunmalar arasında script'leri bilinen bir kriptografik hash'e sabitleyen Subresource Integrity (SRI) ve hangi kaynakların kod çalıştırmasına izin verildiğini sınırlandıran katı bir Content Security Policy (CSP) yer alıyor. dev.to raporu bu önlemleri finansal işlemler veya hassas verilerle uğraşan her modern web uygulaması için kritik olarak nitelendiriyor ve bu vaka bunun nedenini somut bir şekilde gösteriyor.

Neden önemli

Blockchain ayakta kaldı; web sitesi kalamadı. Polymarket'in akıllı kontratlarının hatalı olduğu bildirilmedi, ancak kullanıcılar tarayıcılarının indirdiği kod yukarı akışta değiştirildiği için yine de milyonlarca dolar kaybetti. Kullanıcı fonlarına dokunan her ürün için üçüncü taraf teslim altyapısı, ekipler bunu ister kabul etsin ister etmesin, saldırı yüzeyinin bir parçasıdır. Bu olay, kripto dünyasındaki ve ötesindeki platformlara SRI, katı CSP'ler ve güvenlik açısından kritik script'lerin self-hosting'ine geçiş konusunda baskı yapmalı — ve bir ön yüz tedarik zinciri ihlalinin, yerleşim katı ne kadar merkeziyetsiz olursa olsun tüm bir marketi nasıl durma noktasına getirebileceğini gösteriyor.