ATTACCHI · SUPPLY CHAIN DEL SOFTWARE
Polymarket, ottobre 2026: lo script di monitoraggio che svuota i conti
Il 29 ottobre 2026 uno script di un fornitore di monitoraggio, caricato su Polymarket, è stato sostituito con codice che spostava i fondi degli utenti. In circa un'ora le stime indipendenti contano 2,7 milioni di dollari da oltre 700 conti; Polymarket ha promesso di rimborsarli.
- Vittima
- Polymarket e i suoi utenti
- Settore
- Mercati di previsione e criptovalute
- Paese
- Internazionale
- Data
- 29 ottobre 2026
- Categoria
- Supply chain del software
- Causa
- Accesso tramite fornitore o terza parte
- Attore
- Non identificato. Non identificato; il fornitore compromesso è DebugBear secondo Hudson Rock
- Scenari di danno
- Frode finanziaria · Responsabilità verso terzi
Le cause in breve
- Accesso iniziale. Compromesso un fornitore terzo; Hudson Rock lo identifica in DebugBear, il cui script di monitoraggio era incorporato su polymarket.com (The Record).
- Meccanismo. Il codice usava la sessione già aperta dall'utente e il client di trading del sito per spostare posizioni e fondi, senza rubare chiavi private (Hudson Rock).
- Controllo mancato. Nessun controllo di integrità sullo script, e la Content Security Policy autorizzava già quasi tutti gli indirizzi usati (Ohey).
L'impatto
- Circa 2,7 milioni di dollari da oltre 700 conti, stime di Bitquery e GoPlus; perdita mediana di 171 dollari (ICOBench).
- Script servito da circa le 16:54 UTC, rimosso alle 17:59 UTC; trading sospeso dalle 18:05 alle 19:00 UTC (Ohey, ICOBench).
- Polymarket ha promesso di rimborsare gli utenti colpiti (The Record).
- Come sia stata raggiunta l'infrastruttura di DebugBear: non noto.
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, comunicazione agli utenti e assistenza legale rispondono.
- Ripristino di dati e sistemiNon pertinenteNessun sistema di Polymarket è stato cifrato o distrutto: è bastato rimuovere lo script.
- Business interruption propriaRisponde con limitiIl trading si è fermato per circa un'ora, meno della franchigia temporale tipica di diverse ore.
- Business interruption dipendente (fornitore)Non pertinenteIl fornitore non si è fermato: ha servito codice alterato.
- EstorsioneNon pertinenteNessuna richiesta di riscatto.
- Notifica e responsabilità privacyNon pertinenteLe fonti non riportano un furto di dati personali.
- Responsabilità verso terzi e sanzioni, dove assicurabiliDipende dal wordingRisponde a richieste di risarcimento accertate; un rimborso spontaneo agli utenti, senza consenso dell'assicuratore, può restare a carico dell'assicurato.
- Frode e social engineeringDipende dal wordingI fondi erano nei portafogli degli utenti, non dell'assicurato, e molte polizze escludono le criptovalute: dipende da chi li custodiva.
Esclusioni e limiti da controllare
- Criptovalute. Molte polizze crime e cyber le escludono o le coprono solo con estensioni dedicate.
- Pagamenti volontari. I rimborsi fatti prima di una richiesta e senza consenso dell'assicuratore sono di norma esclusi.
- Surroga. I contratti dei fornitori SaaS limitano spesso la responsabilità ai canoni annui: il recupero verso DebugBear vale poco.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Il singolo sinistro è contenuto, ma lo stesso vettore su un fornitore di script molto diffuso produrrebbe sinistri correlati in molti portafogli.
Segnale di cumulo per il portafoglio.
Cumulo sugli script di terzi: tag manager, strumenti di analisi e di monitoraggio compaiono sulle pagine di login e pagamento di moltissimi siti insieme.