Peringatan Keamanan Polymarket: Kerentanan Sertifikasi Pihak Ketiga dan Cara Mengosongkan Dompet Pengguna

Platform pasar prediksi terdesentralisasi Polymarket pada 25 Desember mengonfirmasi bahwa, akibat celah keamanan dari penyedia layanan otentikasi pihak ketiga, beberapa dana pengguna telah dicuri, dan dana di akun telah dikosongkan. Pengguna yang terdampak sebagian besar mendaftar melalui Magic Labs, sebuah layanan yang memungkinkan pengguna login menggunakan email dan secara otomatis membuat dompet Ethereum non-penitipan.

Celahan ini melewati langkah-langkah keamanan standar seperti otentikasi dua faktor, memicu perhatian luas terhadap keamanan integrasi pihak ketiga di platform kripto.

01 Ringkasan Peristiwa: Risiko aset yang terpapar oleh celah pihak ketiga

Pencurian aset yang dialami pengguna Polymarket bukan disebabkan oleh celah pada kontrak pintar inti platform, melainkan oleh celah keamanan yang diperkenalkan oleh penyedia layanan otentikasi pihak ketiga yang mereka andalkan.

Platform menyatakan di saluran Discord resmi: “Kami baru-baru ini menemukan dan memperbaiki masalah keamanan yang mempengaruhi sejumlah kecil pengguna, yang disebabkan oleh celah yang diperkenalkan oleh penyedia otentikasi pihak ketiga.”

Meskipun platform mengklaim masalah telah diperbaiki dan tidak ada risiko berkelanjutan, jumlah pengguna yang terdampak dan kerugian yang dialami belum diungkapkan, kekosongan informasi ini menimbulkan kekhawatiran luas di komunitas tentang skala dan tingkat keparahan kejadian.

02 Proses Serangan: Reproduksi Kasus Korban Pengguna Umum

Berdasarkan laporan dari pengguna di media sosial, insiden keamanan ini menunjukkan pola karakteristik yang jelas.

Seorang pengguna Reddit secara rinci menggambarkan pengalamannya: “Pagi ini, saya menerima 3 notifikasi percobaan login ke Polymarket — perangkat saya tidak diretas, Google tidak menemukan aktivitas mencurigakan, semua layanan lain berjalan normal.”

Namun saat dia login ke Polymarket dan memeriksa, menemukan semua transaksi telah ditutup posisi, saldo akun tersisa hanya 0,01 dolar yang berarti dompet hampir sepenuhnya dikosongkan.

Pengguna lain melaporkan pengalaman serupa, meskipun mereka tidak mengklik tautan mencurigakan dan mengaktifkan verifikasi dua langkah di email, tetap gagal mencegah penyerang mengosongkan dana setelah menerima tiga notifikasi percobaan login.

03 Kelompok Korban: Pengguna terdaftar Magic Labs menjadi target utama

Korban dari insiden ini memiliki satu kesamaan: mereka sebagian besar mendaftar akun Polymarket melalui layanan Magic Labs.

Magic Labs adalah layanan login pihak ketiga yang dirancang untuk pemula di dunia kripto, mengizinkan pengguna login hanya dengan email, dan sistem secara otomatis membuat dompet Ethereum non-penitipan di belakang layar. Desain ini secara signifikan menurunkan hambatan masuk ke dunia kripto, tetapi juga memperkenalkan permukaan serangan baru.

Penyerang tampaknya telah menguasai metode untuk melewati mekanisme verifikasi multi-langkah, bukan melalui phishing tradisional atau malware yang menyerang perangkat pengguna. Hal ini menimbulkan kekhawatiran serius tentang kemungkinan titik kegagalan tunggal dari layanan otentikasi pihak ketiga.

04 Tanggapan Platform: Ketidakjelasan Informasi Memicu Keraguan Lebih Lanjut

Dalam menanggapi kejadian ini, Polymarket menunjukkan kecenderungan menahan informasi, yang memicu lebih banyak pertanyaan daripada jawaban.

Pertama, platform hanya menyebutkan secara samar bahwa “sejumlah kecil pengguna” terdampak, tanpa memberikan angka pasti atau proporsi. Kedua, platform tidak mengungkapkan total kerugian yang dicuri, sehingga komunitas tidak dapat menilai tingkat keparahan kejadian. Ketiga, Polymarket tidak secara tegas menyebutkan penyedia layanan pihak ketiga yang terlibat, meskipun secara umum diduga adalah Magic Labs.

Dalam aspek detail teknis, Polymarket mengklaim masalah “sudah diselesaikan”, tetapi tidak menjelaskan langkah perbaikan apa yang diambil secara spesifik.

Seorang anggota komunitas menunjukkan bahwa setelah kejadian, Polymarket tampaknya meningkatkan panjang password sekali pakai dari tiga digit menjadi enam digit, tetapi perusahaan tidak mengomentari hal ini secara terbuka.

05 Pelajaran Keamanan: Risiko sistemik dari integrasi pihak ketiga

Ini bukan kali pertama Polymarket mengalami insiden keamanan akibat layanan pihak ketiga. Pada September 2024, beberapa pengguna yang login melalui akun Google melaporkan dana USDC mereka dipindahkan ke alamat phishing.

Bulan lalu, sebuah serangan phishing yang memanfaatkan kolom komentar di platform menyebabkan kerugian lebih dari 500.000 dolar. Peristiwa-peristiwa ini mengungkap tantangan umum yang dihadapi platform kripto: meskipun kontrak pintar inti aman, layanan pihak ketiga yang diandalkan juga bisa menjadi titik kelemahan keamanan.

Analisis industri menunjukkan bahwa ketika pengguna bergantung pada infrastruktur otentikasi identitas terpadu yang tidak dikendalikan langsung oleh platform inti, sistem integrasi sangat rentan terhadap serangan.

06 Tindakan Pengguna: Praktik perlindungan aset yang disarankan

Bagi pengguna kripto, insiden Polymarket memberikan pelajaran penting tentang keamanan.

Saran paling langsung adalah menghindari penggunaan opsi login pihak ketiga, dan beralih ke dompet yang dikendalikan sendiri untuk terhubung langsung ke platform. Meskipun ini meningkatkan hambatan penggunaan, sebelum platform mampu membuktikan bahwa mereka dapat melindungi keamanan integrasi pihak ketiga, ini adalah cara terbaik untuk memastikan keamanan aset.

Pengguna harus secara rutin memeriksa aktivitas akun, mengaktifkan semua fitur keamanan yang tersedia, dan waspada terhadap percobaan login mencurigakan. Diversifikasi penyimpanan aset dan tidak menaruh semua dana di satu platform juga merupakan strategi pengurangan risiko yang masuk akal.

Mengingat Polymarket berencana migrasi ke Polygon dan meluncurkan jaringan Layer 2 Ethereum sendiri, pengguna harus memperhatikan keamanan aset selama masa transisi platform.

Pandangan ke depan

Hingga 25 Desember, total volume perdagangan Polymarket telah mencapai 1,538 miliar dolar AS, dan pengguna aktif bulanan mencapai 419.309 orang. Ketika pengguna bangun pagi dan menemukan saldo akun tersisa 0,01 dolar, kejadian ini bukan lagi sekadar gangguan teknis, melainkan pertanyaan serius terhadap arsitektur keamanan seluruh ekosistem kripto.

Keamanan dana pengguna selalu menjadi fondasi operasional platform Gate. Dalam menghadapi tantangan keamanan yang kompleks di industri kripto, Gate terus memperkuat infrastruktur keamanannya, menyediakan mekanisme perlindungan aset multi-layer bagi pengguna.