Eksploit Polymarket: Kunci yang Bocor, Bukan Bug Kontrak
Pada 22 Mei 2026, investigator on-chain ZachXBT menandai adanya pengosongan di salah satu dompet Polymarket. Estimasi awal menyebutkan angka sekitar $520 ribu. Saat tim mengonfirmasi detail kejadian, angkanya merayap mendekati $660 ribu hingga $700 ribu. Tidak ada reentrancy. Tidak ada manipulasi oracle. Tidak ada koreografi flash-loan yang canggih. Hanya kunci privat yang berakhir di tempat yang seharusnya tidak ada.
Eksploitasi Polymarket tidak menyentuh bagian dari tumpukan teknologi yang semua orang bayar mahal kepada Trail of Bits dan OpenZeppelin untuk diperiksa. Serangan ini menghantam sebuah dompet top-up internal, sebuah akun operasional yang digunakan untuk mendanai reward dan menjaga kelancaran operasional. Jenis dompet yang tidak pernah masuk dalam ruang lingkup audit karena bukan berupa kontrak. Ini adalah kunci yang tersimpan di suatu infrastruktur milik seseorang.
Itulah bagian yang tidak nyaman. Setelah setahun di mana berita utama dipenuhi oleh insiden bridge dan miskonfigurasi DVN, pasar prediksi dengan pendanaan terbesar di dunia berhasil dikuras melalui modus kegagalan paling mendasar dalam buku panduan keamanan.
Apa yang sebenarnya terjadi di Polygon
Akun yang terkuras adalah dompet operasional, bukan dana pengguna yang tersimpan di kontrak inti protokol. Berdasarkan laporan CoinDesk, ZachXBT menemukan sekitar $520 ribu yang bergerak keluar, dan tim Polymarket menyatakan dana nasabah aman. Penyerang menyapu POL dan aset lainnya dari dompet di Polygon, lalu melakukan apa yang selalu dilakukan para penyerang, yaitu menjembatani dan menyebarkan dana sebelum siapapun bisa membekukannya.
Decrypt memperkirakan angkanya mendekati $700 ribu dan mengidentifikasinya secara spesifik sebagai dompet top-up internal. Perbedaan angka dalam 24 jam pertama adalah hal yang wajar; mekanismenya tidak diperdebatkan. Seseorang berhasil mendapatkan kuncinya.
Ini hanyalah eksploitasi Polygon POL dalam artian bahwa POL adalah aset yang tersimpan di dompet tersebut. Rantai bloknya tidak gagal. Kontraknya tidak gagal. Penyimpanan satu kunci operasional itulah yang gagal.
Mengapa UMA CTF Adapter bukan masalahnya
Seperti apa seharusnya dompet operasional senilai $660 ribu itu
Jika satu kunci bisa memindahkan $660 ribu, itu adalah keputusan desain, bukan nasib buruk. Beberapa hal yang seharusnya sudah menjadi standar dasar untuk dompet operasional mana pun yang menyimpan nilai signifikan:
- Batas pengeluaran dalam logika dompet itu sendiri. Dompet pengisian hadiah tidak perlu bisa mengirim seluruh saldonya dalam satu transaksi. Batasi dengan rate-limit secara on-chain.
- Threshold signing untuk apa pun di atas batas minimal. Pembayaran otomatis kecil boleh bersifat hot. Apa pun di atas, katakanlah, $10 ribu harus memerlukan penanda tangan kedua. Safe multisig dengan threshold rendah untuk transfer besar bukanlah hal yang sulit.
- Isolasi kunci dari lingkungan aplikasi. Kunci penandatanganan untuk dompet operasional tidak boleh berada di tempat yang bisa dibaca oleh kode aplikasi, dependensi, atau CI runner yang telah dikompromikan.
- Pemantauan yang menghubungi manusia ketika ada arus keluar yang tidak wajar. ZachXBT mendeteksi ini sebelum tim mengumumkannya. Sistem peringatan internal Anda seharusnya lebih cepat dari pihak ketiga yang memantau mempool.
Semua ini bukan hal baru. Inilah hal-hal yang dipotong ketika tim sedang bergerak cepat dan dompet itu "hanya untuk hadiah."
Kesenjangan audit-stack yang tidak ada yang memilikinya
Masalah yang lebih dalam bersifat yurisdisional, secara internal. Keamanan smart contract memiliki pemilik yang jelas: firma audit. Keamanan kunci operasional memiliki... siapa pun yang menyiapkan dompet, biasanya di bawah tekanan tenggat waktu, dan seringkali tidak pernah ditinjau ulang. Saya menulis tentang kesenjangan ini dalam konteks celah audit DeFi yang rusak, sertifikasi mencakup kontrak dan berhenti di batas kontrak. Semua yang bersifat operasional berada di luar cakupan dan di luar pikiran.
Sampai regulator atau perusahaan asuransi memaksa keamanan operasional menjadi pos anggaran dengan pemilik yang jelas, hal ini akan terus terjadi. Keamanan operasional DeFi di tahun 2026 kira-kira berada di posisi yang sama dengan keamanan smart contract pada tahun 2019: diketahui penting, tidak dimiliki siapa pun, didanai paling akhir.
Polymarket akan baik-baik saja. $660 ribu masih bisa ditanggung oleh platform seukuran mereka, dan patut diapresiasi bahwa mereka berkomunikasi dengan cepat dan jelas. Tapi tim berikutnya yang mengalami hal serupa mungkin tidak punya runway untuk menyerapnya. Kompromi kunci yang menguras treasury, bukan sekadar dompet hadiah, sudah menanti, dan itu bukan bug Solidity. Itu adalah kunci privat di sebuah laptop.