Ekim 2026 Polymarket Siber Saldırısı: Tahmin Piyasalarında Üçüncü Taraf Güvenlik Riskleri
29 Ekim 2026’da Polymarket, kripto para tabanlı tahmin piyasalarının güvenliğindeki önemli bir zayıflığı ortaya çıkaran bir siber saldırıya uğradı: harici yazılım sağlayıcılarına bağımlılık. Saldırganlar, üçüncü taraf bir web sitesi performans izleme hizmetini ele geçirerek kötü amaçlı kod aracılığıyla aktif işlem oturumlarına müdahale etti, kullanıcıların pozisyonlarını sattı ve cüzdanlarından para transfer etti. Olay, Polymarket’in işlemleri geçici olarak durdurmasına neden olurken yaklaşık 2,7 milyon dolarlık doğrudan kayba yol açtı. Şirket, 30 Ekim’e kadar çalınan varlıkları ve ek işlem zararlarını kapsayan 3,9 milyon dolarlık bir tazminat programı açıkladı. Bu saldırı, bilgisayar korsanlarının doğrudan bir blok zincirini ele geçirmesine veya kullanıcıların özel anahtarlarını elde etmesine gerek kalmadan, güvenilir kabul edilen harici bir hizmetin finansal hırsızlık için nasıl giriş noktası hâline gelebileceğini gösterdi.
Ekim 2026’da Polymarket Siber Saldırısı Sırasında Neler Yaşandı?
Olay, 29 Ekim’de Polymarket’in uluslararası web sitesi Polymarket.com üzerindeki kullanıcı cüzdanlarında yetkisiz faaliyetler tespit etmesiyle başladı. Şirketin resmî olay raporuna göre şüpheli hareketler ilk olarak 17.38 UTC’de belirlendi. Kullanıcılar daha sonra hesaplarında beklenmedik değişiklikler yaşandığını, açık pozisyonlarının satıldığını ve kripto para bakiyelerinin azaldığını bildirdi. Güvenlik araştırmacıları, saldırının Polymarket’in temel blok zinciri akıllı sözleşmelerinde kamuoyuna açıklanmış bir güvenlik açığından değil, ele geçirilmiş harici bir yazılım sağlayıcısından kaynaklandığını belirledi. Saldırganlar, normal koşullarda web sitesinin performansını izlemek amacıyla yüklenen bir betiğin kontrolünü ele geçirmişti.
Bağımsız haberlerde, güvenliği ihlal edilen hizmetin web sitesi performans izleme alanında faaliyet gösteren Birleşik Krallık merkezli DebugBear şirketiyle bağlantılı olduğu belirtildi. DebugBear’ın gerçek kullanıcı izleme teknolojisi, web sitesi işletmecilerinin sayfaların ne kadar hızlı yüklendiğini ve ziyaretçilerin hizmetleri nasıl deneyimlediğini anlamasına yardımcı oluyor. Bu tür araçlar genellikle web sitelerine eklenen küçük JavaScript kodlarıyla çalışıyor. Söz konusu olayda saldırganlar, normal izleme kodunu özellikle Polymarket kullanıcılarını hedef almak üzere hazırlanmış kötü amaçlı talimatlarla değiştirdi. Etkilenen kod, mevcut bir harici yazılım bağlantısı üzerinden sunulduğu için ziyaretçiler sahte bir kopyaya yönlendirilmeden, doğrudan gerçek Polymarket web sitesini kullanırken saldırıya maruz kalabiliyordu.
Polymarket, güvenlik ekibi ihlali araştırırken işlem faaliyetlerini kısıtlayarak karşılık verdi. Saat 18.05 UTC’de sistem yalnızca emir iptaline izin veren moda geçirildi. Böylece yeni işlemler engellenirken belirli mevcut emirlerin iptal edilmesine olanak tanındı. İşlemlerin gerçekleştirilmesini destekleyen relayer hizmetleri de askıya alındı. Şirket, normal işlemlerin yeniden başlayacağını duyurmadan önce sorunun doğrudan kaynağını tespit ederek giderdiğini bildirdi. Resmî durum kayıtlarına göre işlem kesintisi saat 19.05 UTC’de, kısıtlamaların başlamasından yaklaşık bir saat sonra sona erdi. Kesinti nispeten kısa sürmesine rağmen sonuçları, kullanıcıların işlem hizmetlerine geçici olarak erişememesinin çok ötesine geçti.
Ele Geçirilen Betik Saldırganların Fonları Çalmasını Nasıl Sağladı?
Saldırı, yazılım tedarik zinciri saldırısı olarak bilinen güvenlik tehdidinin somut bir örneğini oluşturuyor. Saldırganlar, her kullanıcının hesabına ayrı ayrı girmeye çalışmak yerine doğrudan web sitesinin güvendiği bir hizmeti hedef aldı. Polymarket değiştirilmiş izleme betiğini yüklediğinde kötü amaçlı talimatlar, aktif tarayıcı oturumlarının sağladığı erişim kapsamında çalışabildi. Saldırı, özellikle güvenliği ihlal edilmiş kodun yüklendiği sırada hesaplarına giriş yapmış kullanıcılar açısından tehlikeliydi. Mevcut kimlik doğrulaması tamamlanmış oturumlar, saldırganlara normalde gerçek hesap sahipleri tarafından gerçekleştirilecek işlemleri başlatma fırsatı verdi.
Polymarket’in açıklamasına göre kötü amaçlı betik, aktif kullanıcı oturumlarını kullanarak tahmin piyasası pozisyonlarını sattı ve etkilenen cüzdanlardaki varlıkları dışarıya aktardı. Bu ayrım önemlidir çünkü olayın gerçekleşmesi için kullanıcıların özel anahtarlarının çalındığının doğrulanması veya blok zincirinin mutabakat mekanizmasının ele geçirildiğinin ortaya konulması gerekmiyordu. Saldırganlar bunun yerine web sitesinin normal işlem arayüzü üzerinden kullanılabilen yetkilerden yararlandı. Dolayısıyla bir kullanıcı doğru web sitesine giriş yapmış ve gerekli kimlik doğrulama aşamalarını daha önce tamamlamış olsa bile parasını kaybedebiliyordu. Saldırının tam teknik işleyişi ve olaya katkıda bulunmuş olabilecek diğer güvenlik zayıflıkları araştırılmaya devam ediyordu.
DebugBear daha sonra alan adı sistemi (DNS) kayıtlarının, alan adı kayıt kuruluşu üzerinden ele geçirildiğini bildirdi. DNS kayıtları, internet trafiğinin doğru sunuculara yönlendirilmesini sağlar. Bu kayıtlarda yetkisiz değişiklikler yapılması, saldırganların meşru kaynaklara gönderilen istekleri farklı adreslere yönlendirmesine imkân tanıyabilir. Şirket, ilk araştırmalarında kendi iç sistemlerinin ihlal edildiğine dair herhangi bir belirti bulunmadığını açıkladı. Ayrıca saldırının özellikle tek bir müşteriyi hedef almış gibi göründüğünü belirtti, ancak bu değerlendirmenin henüz ön inceleme niteliğinde olduğunu vurguladı. Bulgular, bir yazılım sağlayıcısının çevresindeki teknik altyapıya yönelik saldırıların, o sağlayıcının hizmetlerinden yararlanan müşterileri nasıl etkileyebileceğini ortaya koyuyor.
Mali Kayıplar, Tazminatlar ve Güvenlik Üzerindeki Daha Geniş Etkiler
Blok zinciri analistleri ve Polymarket, etkilenen işlemleri inceledikçe saldırının mali sonuçları daha net hâle geldi. İlk haberlerde, şüpheli saldırganla bağlantılı yaklaşık 2,65 milyon dolarlık kripto para hareketi tespit edildiği belirtildi. Şirket daha sonra ele geçirilen cüzdanlarla ilişkili doğrudan kayıpların yaklaşık 2,7 milyon dolar olduğunu doğruladı. Olayın ardından yayımlanan güvenlik haberlerinde toplam 726 cüzdanın etkilendiği bildirildi. Bu rakamlar, bütün Polymarket hesaplarının genel olarak ele geçirilmesinden ziyade belirli kullanıcıları hedef alan bir finansal saldırıya işaret ediyor. Bununla birlikte kötü amaçlı yazılımın aktif işlem oturumlarına erişebilmesi durumunda ne kadar kısa sürede ciddi maddi zarara yol açabileceğini de gösteriyor.
Polymarket, 30 Ekim’de tazminat düzenlemelerini açıklayan bir güncelleme yayımladı. Şirket, çalınan varlıklarla bağlantılı 2,7 milyon doların yanı sıra işlemlerin kesintiye uğraması ve pozisyonların zorla satılması nedeniyle oluşan 1,2 milyon dolarlık ek zararı da kapsayacak şekilde yaklaşık 3,9 milyon dolarlık geri ödeme taahhüdünde bulundu. Açıklamaya göre aynı gün öğleden sonra etkilenen cüzdanların %95’ine tam geri ödeme yapılmıştı. Tazminat programının yalnızca cüzdanlardan yapılan yetkisiz transferlerle sınırlı kalmamasının nedeni, saldırının bazı kullanıcıların pozisyonlarının hangi fiyatlardan ve ne zaman kapatıldığını da etkilemesiydi.
Tahmin piyasalarının finansal özellikleri, işlem kesintilerinin neden özellikle ciddi sonuçlar doğurabileceğini açıklıyor. Katılımcılar seçimler, ekonomik açıklamalar, spor karşılaşmaları ve ölçülebilir diğer gelişmeler gibi olayların sonuçlarına bağlı sözleşmeler alıp satıyor. Yeni bilgiler ortaya çıktıkça sözleşme fiyatları değişiyor ve bazı piyasalar ilgili olayın tamamlanmasından kısa süre sonra sonuçlandırılıyor. Bu nedenle işlemlerin geçici olarak durdurulması, kullanıcıların kritik bir anda risklerini yeniden düzenlemesini engelleyebilir. Çalınan varlıklar geri ödense bile yatırımcılar değişen koşullara zamanında tepki veremedikleri için mali açıdan dezavantaj yaşamış olabilir. Polymarket’in belirli işlem zararlarını tazminat kapsamına almasının nedeni de bu durumdur.
Üçüncü Taraf Bağımlılıkları Tahmin Piyasalarında Neden Güvenlik Riski Oluşturuyor?
Modern kripto para hizmetleri; web sitesi analitiği, performans izleme, kimlik doğrulama, müşteri desteği ve çeşitli operasyonel işlevler için sıklıkla harici araçlardan yararlanıyor. Bu hizmetler güvenilirliği artırabilir ve geliştirme maliyetlerini azaltabilir. Ancak eklenen her yeni bağımlılık, güvenlik açısından denetlenmesi gereken başka bir ilişki oluşturur. Ekim ayındaki saldırı, görünüşte zararsız bir performans izleme işlevini yerine getiren yazılımın, hassas finansal işlemlerin gerçekleştirildiği bir web sitesinde çalışma yetkisi kazanması durumunda nasıl tehlikeli hâle gelebileceğini gösterdi. Ele geçirilmiş harici bir betik, kimlik doğrulaması tamamlanmış kullanıcı oturumlarıyla etkileşime geçebiliyorsa saldırganın borsanın ana sunucularına doğrudan erişmesi her zaman gerekli olmayabilir.
Bu olay, blok zinciri tabanlı finansal hizmetlerin her türlü siber saldırıya karşı kendiliğinden korunduğu düşüncesini de sorgulatıyor. Blok zinciri kayıtları şeffaflık sağlayabilir ve yetkisiz transferlerin izlenmesini kolaylaştırabilir. Ancak bu özellikler, gerçekleştirilen her işlemin hesap sahibinin bilgisi ve onayı doğrultusunda başlatıldığını garanti etmez. Güvenli bir akıllı sözleşme, tarayıcı üzerinden gönderilen bir talimatın gerçek kullanıcıdan mı yoksa mevcut oturumu kötüye kullanan zararlı yazılımdan mı kaynaklandığını tek başına belirleyemez. Dolayısıyla bir tahmin piyasasının güvenliği; web sitesi, cüzdan izinleri, kimlik doğrulama işlemleri, işlem kontrolleri ve harici hizmet sağlayıcıları dâhil olmak üzere birbirine bağlı çok sayıda unsura dayanır.
Polymarket’in Ekim ayındaki güvenlik ihlali, şirketin Haziran 2026’da da üçüncü taraf kaynaklı başka bir güvenlik olayı yaşamış olması nedeniyle ayrıca önem taşıyor. Önceki saldırıda da harici bir sağlayıcı üzerinden yerleştirilen kötü amaçlı kod kullanılmış ve yaklaşık 3 milyon dolarlık kripto para kaybı bildirilmişti. Bu olayların tekrarlanması, her iki saldırının aynı kişiler tarafından gerçekleştirildiğini veya tamamen aynı teknik zayıflıktan yararlanıldığını kanıtlamıyor. Ancak dış kaynaklı yazılımların getirdiği riskleri kontrol etmenin ne kadar zor olduğunu gösteriyor. Tahmin piyasası işletmecileri açısından tedarikçi güvenliğini düzenli olarak incelemek tek başına yeterli değildir. Bu incelemelerin, harici kodların erişebileceği bilgilere ve gerçekleştirebileceği işlemlere sınır koyan teknik önlemlerle desteklenmesi gerekir.
Tahmin Piyasaları Benzer Saldırıların Riskini Nasıl Azaltabilir?
Ekim ayındaki saldırının ardından Polymarket, ele geçirilen betiği kaldırdı ve kötü amaçlı talimatları sunmaya devam edebilecek önbelleğe alınmış kopyaları temizledi. Ayrıca aktif giriş oturumlarını sıfırlayarak kullanıcıların yeniden kimlik doğrulaması yapmasını zorunlu kıldı. Bu önlemler, zararlı kod tespit edildikten sonra ele geçirilmiş oturumların kullanılmaya devam edilmesi riskini azaltmayı amaçlıyordu. Şirket, soruşturma sırasında işlem faaliyetlerini ve relayer hizmetlerini de askıya alarak daha fazla yetkisiz para hareketi gerçekleşmesini önlemeye çalıştı. Bu tür acil müdahale prosedürleri önemlidir çünkü zararlı kodun kaldırılması, saldırıdan daha önce etkilenmiş oturumları veya gerçekleştirilmiş işlemleri otomatik olarak geçersiz kılmaz.
Polymarket ayrıca dış kaynaklardan yüklenen betikler için daha sıkı güvenlik kontrolleri uygulayacağını açıkladı. Bunlar arasında güçlendirilmiş Content Security Policy (CSP) ayarları, yazılım sürümlerinin sabitlenmesi, yalıtılmış çalışma ortamları ve sürekli doğrulama bulunuyor. İçerik Güvenliği Politikası olarak da bilinen CSP, bir web sitesinin tarayıcıların hangi kaynakları ve betikleri yükleyebileceğini veya çalıştırabileceğini sınırlandırmasına olanak tanır. Sürüm sabitleme, beklenmedik yazılım değişikliklerinin otomatik olarak uygulanmasını önlemeye yardımcı olurken yalıtılmış çalışma ortamları daha az güvenilir bileşenlere verilen izinleri kısıtlayabilir. Bu koruma yöntemleri birbirinin yerine geçmez ve etkili olmaları doğru yapılandırılmalarına bağlıdır. Birlikte uygulandıklarında, ele geçirilmiş bir tedarikçinin hassas web sitesi işlevlerine sınırsız erişim sağlaması ihtimalini azaltabilirler.
Diğer tahmin piyasası işletmecileri açısından olay, üçüncü taraf kodların hangi alanlarda çalışmasına izin verildiğinin yeniden değerlendirilmesi gerektiğini gösteriyor. Performans izleme ve analiz araçlarına, alım satım veya cüzdan yönetiminden sorumlu bileşenlerle otomatik olarak aynı erişim yetkileri verilmemelidir. Hassas işlemler; ek işlem onayları, dar kapsamlı erişim izinleri, harcama sınırları ve gerektiğinde ek doğrulama adımlarıyla korunabilir. İşletmecilerin ayrıca dış yazılım bağımlılıklarının güncel envanterlerini tutması, olağan dışı işlem hareketlerini araştırması ve ele geçirilmiş hizmetleri hızla devre dışı bırakabilecek prosedürler oluşturması gerekir. Düzenli güvenlik değerlendirmeleri yalnızca akıllı sözleşmelere odaklanmamalı, tedarikçileri ve tarayıcı üzerinden çalışan harici yazılım bağlantılarını da kapsamalıdır.
Yatırımcılar Ekim 2026’daki Saldırıdan Hangi Dersleri Çıkarmalı?
Bireysel kullanıcılar, bir tahmin piyasası işletmecisinin kullandığı yazılımlardaki güvenlik zayıflıklarını tamamen kontrol edemez. Bununla birlikte risklerini azaltabilecek bazı önlemler alabilirler. Yatırımcılar her hesap için farklı ve güçlü parolalar kullanmalı, mevcut olduğunda çok faktörlü kimlik doğrulamayı etkinleştirmeli ve hesap hareketlerini düzenli olarak incelemelidir. Desteklendiği durumlarda uzun vadeli kripto para birikimlerini sık işlem yapılan cüzdanlardan ayrı tutmak, tek bir hizmet üzerinden maruz kalınabilecek kaybı sınırlayabilir. Özellikle uygulamalar token transfer etme yetkisi istediğinde cüzdan izinleri dikkatle değerlendirilmelidir. Ancak Ekim ayındaki olay, kötü amaçlı kodun hâlihazırda kimlik doğrulaması yapılmış bir oturum üzerinden çalışması durumunda bu önlemlerin mutlak koruma sağlayamayacağını gösteriyor.
Etkilenen dönemde Polymarket’i kullanan herkesin işlem geçmişini, cüzdan transferlerini ve varsa geri ödeme durumunu kontrol etmesi gerekir. Şirket, tazminat hakkı bulunan kullanıcıların blok zinciri ve işlem kayıtları üzerinden belirlendiğini, her etkilenen müşterinin ayrıca başvuru yapmasının gerekmediğini açıkladı. Zararlarının yanlış hesaplandığını düşünen kullanıcılar, https://status.polymarket.com/ adresinde yayımlanan resmî olay bilgilerini inceleyebilir ve değerlendirme talebi oluşturmak için belirtilen resmî talimatları izleyebilir. Hesap sahipleri, özellikle kurtarma ifadeleri, özel anahtarlar veya beklenmedik cüzdan bağlantıları isteyen, kendilerine doğrudan gönderilmiş geri ödeme mesajlarına karşı dikkatli olmalıdır. Meşru bir tazminat işlemi, kullanıcının cüzdanına ait gizli kurtarma ifadesini paylaşmasını hiçbir zaman gerektirmemelidir.
Ekim 2026 Polymarket saldırısı, bir kripto para tahmin piyasasının güvenliğinin yalnızca blok zinciri teknolojisi incelenerek değerlendirilemeyeceğini ortaya koydu. Ele geçirilmiş bir performans izleme betiği, gerçek kullanıcıların işlem oturumlarına müdahale etmek, milyonlarca dolarlık kayba neden olmak ve zamana duyarlı piyasalara erişimi kesintiye uğratmak için yeterli oldu. Polymarket’in müdahalesi; zararlı yazılım bağlantısının kaldırılmasını, işlemlerin yeniden başlatılmasını, oturumların sıfırlanmasını ve tazminat düzenlemelerini kapsıyordu. Bununla birlikte olay, finansal hizmet sunan web sitesi işletmecilerinin ortak bir sorumluluğunu da gözler önüne serdi: Harici hizmetler otomatik olarak güvenilir bileşenler kabul edilmek yerine potansiyel güvenlik riski olarak değerlendirilmelidir. Tahmin piyasaları yüksek hacimli işlemleri desteklemeye devam ettikçe bu bağımlılıkların kontrol altında tutulması, kullanıcıların korunması ve hizmetlere duyulan güvenin sürdürülmesi açısından temel önem taşımaya devam edecektir.
