Ekranda vurgulu HTML ve JavaScript kaynak kodu; script etiketleri ve sayfa izleme satırı görülüyor, temsili fotoğraf (2016)

Tahmin piyasası Polymarket'in uluslararası internet sitesine gömülü üçüncü taraf bir izleme betiği 29 Ekim 2026'da ele geçirildi. Betiğe yerleştirilen zararlı kod, oturum açmış kullanıcıların hesaplarındaki varlıkları saldırgana aktardı. Olayın ardından işlemleri yaklaşık bir saat durduran Polymarket, sorunun giderildiğini belirterek etkilenen tüm kullanıcılara tam tazmin sözü verdi.

Zaman çizelgesi ve Polymarket'in açıklaması

Polymarket'in durum sayfasına göre platform 29 Ekim 2026 saat 21:05 TSİ'de «yalnızca emir iptali» moduna alındı ve aktarım (relayer) işlemleri durduruldu. Şirket 21:33 TSİ'de X hesabında, 21:37 TSİ'de ise durum sayfasında yaptığı açıklamada uluslararası platform Polymarket.com'u etkileyen sorunun tespit edilip giderildiğini bildirdi. Üçüncü taraf sağlayıcılarından birinin ele geçirildiğini belirten şirket, konunun ilgili kolluk birimlerine iletildiğini, etkilenen herkesin kaybının karşılanacağını ve tedbir amacıyla işlemlerin geçici olarak durdurulduğunu duyurdu.

Hudson Rock incelemesine göre Polymarket'in yayındaki uygulama kodunda izleme betiğinin kaldırıldığını gösteren değişiklik kaydı saat 20:59 TSİ'de yapıldı. Polymarket yaklaşık 22:00 TSİ'de işlemlerin tamamen yeniden açıldığını ve etkilenen tüm yatırımcılara tam geri ödeme yapılacağını açıkladı. Durum sayfasında olay 22:05 TSİ'de kapandı; tahmin piyasaları ile emir defteri 21:05 ile 22:05 TSİ arasında kesintiye uğradı. 30 Ekim sabah saatleri itibarıyla şirketten sağlayıcı adı, tutar ya da kullanıcı sayısına dair yeni bir açıklama gelmedi; durum sayfası tüm sistemlerin çalıştığını gösteriyor.

İzleme betiği kimin, hesapları nasıl boşalttı

Polymarket resmi açıklamasında sağlayıcının adını vermedi. CNBC'ye konuşan konuya yakın bir kişiye göre ele geçirilen sağlayıcı, internet sitelerinin hızını ölçen İngiltere merkezli DebugBear; bu nedenle konu İngiltere'deki kolluk birimlerine iletildi. Reuters'a konuşan konuya yakın bir kaynak ve NBC News'e konuşan bir kişi de DebugBear'ı işaret etti. Siber güvenlik şirketi Hudson Rock da Polymarket ile ilişkili bir DebugBear adresinden indirdiği betikte varlık çalan kod bulduğunu ve Polymarket'in kodunda DebugBear betiğinin kaldırıldığını gösteren değişiklik kaydını gördüğünü yazdı. DebugBear ise 29 Ekim saat 21:00 TSİ'de X üzerinden süren bir güvenlik olayından etkilendiklerini duyurarak gerçek kullanıcı izleme (RUM) ürününü kullanan müşterilerinden kodu sitelerinden kaldırmalarını istedi; şirket müşteri adı vermedi. 30 Ekim saat 01:16 TSİ'de uzman bir olay müdahale ekibiyle çalıştığını duyuran DebugBear'ın internet sitesine gece saatlerinde ulaşılamıyordu. Kodun başka müşterilere sunulup sunulmadığı bilinmiyor.

Gerçek kullanıcı izleme (RUM) amacıyla sayfaya eklenen bir JavaScript betiği, ziyaretçinin tarayıcısında sitenin kendi koduyla aynı yetkiyle çalışıyor. BleepingComputer ve Hudson Rock incelemelerine göre betiğin zararlı sürümü, tarayıcıda kayıtlı oturum bilgilerini okuyarak açık olan işlem istemcisini kullandı. E-posta ile giriş yapan kullanıcılarda pozisyonlar onay istenmeden satılırken, harici cüzdan bağlayan kullanıcılara transfer için imza isteği çıkarıldı. Varlıklar Polygon ağının kripto parası POL'e çevrilerek saldırganın cüzdanına gönderildi. Hudson Rock, betikte parola, kurtarma ifadesi ya da özel anahtarı dışarı gönderen bir bölüm bulunmadığını, saldırının açık oturum üzerinden yürütüldüğünü açıkladı. İlk sızmanın nasıl ve ne zaman gerçekleştiği bilinmezken, DefiPrime dosyanın 27 Ekim'den beri değiştirilmiş olabileceğini yazdı.

Ne kadar para çekildi, kayıplar nasıl karşılanacak

Polymarket çekilen toplam tutarı ve etkilenen kullanıcı sayısını açıklamadı; farklı kaynaklar değişken veriler paylaşıyor. BleepingComputer saldırgan adresinden üç cüzdana yaklaşık 28,6 milyon POL (yaklaşık 2,57 milyon dolar) aktarıldığını bildirdi. Decrypt, blokzincir analiz şirketi Arkham'ın verilerine dayanarak yaklaşık 2,65 milyon dolar yazarken, CNBC'nin aktardığı Betting Intelligence ve Polysights analizine göre en az 2,7 milyon dolar 710 cüzdandan çekildi. Hudson Rock ise inceleme anında saldırganın adresinde yaklaşık 2,19 milyon dolar görüldüğünü, bunun toplam kayıp olarak doğrulanmadığını belirtti. Rakamlar birbirine eklenmemeli; her biri farklı bir ölçümü yansıtıyor. Aynı gün kripto piyasalarında Binance sıcak cüzdanlarından milyarlarca dolarlık şüpheli bir çıkış da görülmüştü.

CNBC'nin aktardığı Discord mesajına göre Polymarket 10 bin doların altındaki kayıpları 30 Ekim'e kadar iade edecek, daha yüksek kayıplarda ise kullanıcıdan bir feragat formu imzalamasını isteyecek. CNBC'ye göre ABD'deki ayrı platform Polymarket US olaydan etkilenmedi. Decrypt'e göre Polymarket Haziran 2026'da da ele geçirilen bir üçüncü taraf tedarikçinin betiği nedeniyle 15'ten az hesabı etkileyen, yaklaşık 3 milyon dolarlık bir olay yaşamıştı. Olay, 3 Kasım ABD ara seçimleri öncesindeki yoğun döneme denk geldi.

Türkiye açısından

Cumhuriyet'in 20 Temmuz 2026'da İFÖD'ün EngelliWeb verilerine dayanarak aktardığına göre polymarket.com, Milli Piyango İdaresi'nin 16 Temmuz ve Spor Toto'nun 21 Temmuz 2026 tarihli kararlarıyla «yasa dışı bahis» gerekçesiyle Türkiye'den erişime kapatılmıştı. Türkiye'den kullanıcıların bu olaydan etkilenip etkilenmediğine dair hiçbir veri yok.

Platform kullanıcıları «geri ödeme» ya da «tazminat başvurusu» bahanesiyle gelen mesaj ve bağlantılara itibar etmemeli, yalnız Polymarket'in resmi kanallarını izlemeli ve beklenmedik cüzdan imza isteklerini onaylamamalı. Siteye gömülen her dış betik sitenin kendi yetkisiyle çalıştığından, DefiPrime'ın analizinde de öne çıktığı gibi alt kaynak bütünlüğü (SRI), sıkı içerik güvenlik politikası (CSP) ve işlem yapılan sayfalarda dış betikleri sınırlamak bu riski azaltan önlemler arasında.

Kaynaklar

Kapak görseli (temsili): bir web sayfasının HTML ve JavaScript kaynak kodu, script etiketleri ve sayfa izleme satırıyla (2016); Polymarket'i ya da DebugBear betiğini göstermez — Martin Vorel / Wikimedia Commons, CC BY-SA 4.0 (16:9 kırpıldı, 1200×675 küçültüldü).