Polymarket Diretas, Masalahnya Bukan Hanya Dana yang Hilang

The Core Update

Polymarket mengonfirmasi bahwa sejumlah dana pengguna dicuri setelah terjadi kompromi pada vendor pihak ketiga. Menurut pernyataan perusahaan, celah di vendor tersebut memungkinkan hacker menyisipkan kode berbahaya ke website Polymarket untuk sebagian pengguna.

Polymarket mengatakan insiden ini sudah ditangani, korban yang terdampak sedang dihubungi, dan dana mereka akan dikembalikan penuh.

Namun detail utamanya masih belum jelas. Belum ada penjelasan lengkap tentang bagaimana kode berbahaya itu masuk, berapa banyak pengguna yang terdampak, berapa lama serangan berlangsung, dan bagian mana dari pengalaman pengguna yang dimanipulasi.

Di waktu yang hampir bersamaan, PeckShield melaporkan adanya kampanye phishing yang menargetkan pengguna Polymarket. Angka kerugian yang disebutkan mencapai sekitar 3 juta dolar AS dalam bentuk cryptocurrency. Analis blockchain lain juga melaporkan kerugian serupa dan menyebut dana dicuri dari lebih dari 11 korban.

Bagi Polymarket, ini menjadi pukulan tambahan setelah sebelumnya perusahaan juga disorot karena laporan bahwa mereka membayar creator untuk membuat video promosi yang menyesatkan tentang kemenangan taruhan palsu.

Di permukaan, ini terlihat seperti berita keamanan crypto biasa: ada platform besar, ada dana pengguna, ada hacker, lalu ada janji refund.

Tetapi pelajaran yang lebih penting bukan hanya soal crypto.

Ini adalah pengingat bahwa website modern sering tidak hanya terdiri dari kode milik perusahaan sendiri.

The Reality Check

Banyak bisnis merasa aman karena sistem utama mereka tidak diretas secara langsung. Server masih berjalan. Database tidak bocor. Login masih normal. Dashboard masih bisa dibuka.

Masalahnya, serangan digital tidak selalu harus masuk dari pintu utama.

Sering kali, serangan masuk lewat hal yang dianggap pendukung: vendor analytics, widget chat, payment script, tag manager, plugin, CDN, library JavaScript, form embed, atau integrasi pihak ketiga lain yang berjalan di halaman yang sama dengan pengguna.

Kalau salah satu komponen itu bisa menyisipkan script ke website, dampaknya bisa sangat serius. Pengguna tetap merasa sedang berada di website resmi. URL terlihat benar. Brand terlihat benar. Tampilan terlihat normal. Tetapi perilaku halaman bisa berubah.

Di sinilah risiko third-party menjadi berbahaya.

Bukan karena semua vendor buruk. Banyak vendor justru membantu bisnis bergerak lebih cepat. Tetapi setiap script eksternal yang berjalan di website sebenarnya membawa sebagian kepercayaan bisnis kepada pihak lain.

Jika vendor itu bermasalah, website ikut membawa risikonya ke pengguna.

Untuk platform crypto atau financial product, dampaknya lebih keras karena tindakan pengguna sering langsung berhubungan dengan wallet, transaksi, dan dana. Satu instruksi palsu, satu approval berbahaya, atau satu halaman yang dimanipulasi bisa cukup untuk membuat dana berpindah.

Namun pola yang sama juga relevan untuk bisnis non-crypto.

Website e-commerce bisa kehilangan data checkout. Website SaaS bisa mencuri session atau token. Website lead generation bisa membocorkan nomor telepon dan kebutuhan calon pelanggan. Website membership bisa mengekspos data pengguna. Bahkan website company profile pun bisa menjadi jalur phishing jika script yang tampil di halaman sudah tidak dapat dipercaya.

Masalahnya, third-party risk sering tidak terlihat di checklist bisnis sehari-hari.

Tim mengecek desain. Tim mengecek copywriting. Tim mengecek traffic. Tim mengecek conversion rate. Tetapi jarang ada yang rutin bertanya:

• script eksternal apa saja yang berjalan di halaman ini?
• siapa pemilik setiap script?
• apakah script itu masih dipakai?
• apakah aksesnya terlalu luas?
• apakah ada proteksi jika script berubah?
• apakah pengguna bisa diarahkan ke transaksi atau form yang dimanipulasi?

Ketika traffic masih kecil, pertanyaan ini terasa teknis dan jauh. Ketika bisnis mulai besar, pertanyaan ini menjadi bagian dari kepercayaan pelanggan.

Refund memang penting. Komunikasi insiden juga penting. Tetapi setelah dana hilang atau data bocor, masalahnya bukan hanya angka kerugian. Ada kepercayaan yang ikut rusak.

Dan kepercayaan digital tidak selalu pulih hanya karena uang dikembalikan.

The Havedev Way

Dari sudut pandang Havedev, insiden seperti ini sebaiknya tidak dibaca hanya sebagai masalah hacker yang menyerang perusahaan besar.

Ini perlu dibaca sebagai pengingat bahwa website adalah permukaan operasional bisnis.

Website bukan sekadar halaman marketing. Di banyak bisnis, website menjadi tempat lead masuk, pembayaran dimulai, akun dibuat, dokumen dikirim, chat dibuka, dan keputusan pelanggan terjadi. Jika bagian itu bergantung pada banyak script dan vendor tanpa kontrol yang jelas, maka risiko bisnis ikut tersebar.

Pendekatan yang sehat bukan berarti menolak semua tools pihak ketiga. Itu tidak realistis.

Yang lebih penting adalah membuat daftar dan batasan.

Bisnis perlu tahu komponen eksternal apa saja yang hidup di website. Bukan hanya plugin yang terlihat di CMS, tetapi juga script analytics, pixel iklan, widget chat, form embed, payment helper, tracking tool, A/B testing tool, dan library yang dimuat dari luar.

Setelah itu, setiap komponen perlu dinilai secara sederhana:

• apakah masih digunakan?
• apakah memberi nilai yang jelas?
• apakah berjalan di halaman sensitif?
• apakah bisa membaca input pengguna?
• apakah bisa memengaruhi tombol, form, atau redirect?
• apakah ada alternatif yang lebih aman atau lebih terbatas?

Untuk bisnis yang sudah menerima pembayaran, data pelanggan, atau inquiry bernilai tinggi, audit seperti ini seharusnya bukan pekerjaan sekali saat website dibuat. Ia perlu menjadi bagian dari maintenance.

Beberapa langkah teknis juga bisa membantu, seperti Content Security Policy, pembatasan domain script, review dependency, akses vendor yang lebih terbatas, monitoring perubahan halaman, dan pemisahan area sensitif dari script marketing yang tidak perlu.

Tetapi sebelum masuk ke solusi teknis, bisnis perlu menerima satu hal dulu: kecepatan integrasi selalu punya biaya kontrol.

Semakin mudah memasang widget, semakin mudah juga bisnis lupa bahwa widget itu punya akses ke pengalaman pengguna.

Semakin banyak tool marketing dipasang, semakin penting untuk memastikan tidak ada tool yang berjalan tanpa pemilik.

Semakin dekat website dengan uang dan data, semakin kecil ruang untuk asumsi bahwa semua script aman hanya karena berasal dari vendor populer.

Kasus Polymarket menunjukkan bahwa risiko besar kadang datang dari bagian kecil yang tidak terlihat pengguna. Mereka membuka website resmi, tetapi serangan bisa tetap terjadi karena rantai kepercayaan di belakang website sudah terganggu.

Untuk bisnis, pelajarannya sederhana: jangan hanya mengamankan sistem utama. Amankan juga hal-hal yang menempel di sekitarnya.

Website yang baik bukan hanya cepat, bagus, dan mudah dikonversi. Website yang baik juga bisa dipercaya.

Dan kepercayaan itu dibangun bukan hanya dari desain, tetapi dari disiplin teknis yang memastikan setiap script, vendor, dan integrasi memang layak berada di sana.

Dapatkan Audit Teknis Gratis untuk meninjau risiko website, integrasi pihak ketiga, dan alur digital yang berhubungan langsung dengan data atau lead pelanggan.

---

Sumber referensi berita: TechCrunch