Polymarket-Nutzer verlieren bei Angriff über Drittanbieter-Skript schätzungsweise 2,71 Millionen Dollar

Polymarket-Nutzer verloren bei einem Angriff am 29. Oktober über ein kompromittiertes Website-Skript eines Drittanbieters rund 2,71 Millionen US-Dollar, berichtet das Sicherheitsunternehmen GoPlus.

Seine Blockchain-Analyse identifizierte 710 Einzahlungswallets und 731 Adressen entlang des hauptsächlichen Angriffswegs. GoPlus warnte, dass diese Adresszahlen keinen Rückschluss auf die Zahl der betroffenen Einzelpersonen erlauben. Polymarket hat Entschädigungen für betroffene Händler zugesagt, aber noch keine abschließende Verlustbewertung veröffentlicht. 

Schadcode zielte auf aktive Handelssitzungen ab

Forscher von Hudson Rock entdeckten Code zum Leerräumen von Wallets in einem Skript, das über die Infrastruktur von DebugBear ausgeliefert wurde, einem britischen Anbieter für Website-Performance-Monitoring.

Das Skript suchte nach aktiven Polymarket-Handelssitzungen von Nutzern, prüfte deren Portfolios und versuchte, Vermögenswerte umzuleiten. Je nach Kontotyp sollte der Code entweder Positionstoken direkt übertragen oder Positionen verkaufen und anschließend verfügbare Guthaben transferieren.

Hudson Rocks Erkenntnisse beruhten auf der Untersuchung des abgerufenen Codes. Die Forscher führten ihn nicht mit einer verbundenen Wallet aus und betonten, dass eine Transaktions- oder Signaturanfrage nicht belege, dass jede versuchte Aktion erfolgreich war. 

Handel nach rund einer Stunde wieder aufgenommen

Polymarket beschränkte seine Handelsplattform zunächst auf Orderstornierungen und setzte während der Untersuchung die Funktionen zur Weiterleitung von Transaktionen aus. Der Handel wurde rund eine Stunde nach der anfänglichen Aussetzung wieder aufgenommen.

Die Plattform erklärte, das mit dem Dienstleister verbundene Problem identifiziert und behoben sowie den Vorfall an britische Strafverfolgungsbehörden gemeldet zu haben. DebugBear bestätigte seinerseits einen Sicherheitsvorfall und forderte Kunden seines Produkts Real User Monitoring auf, den eingebetteten Code von ihren Websites zu entfernen. 

Hudson Rock fand außerdem Produktions-Build-Protokolle, die Polymarkets Entfernung der DebugBear-Integration dokumentierten. Die Untersuchung klärte weder den ursprünglichen Kompromittierungsmechanismus noch belegte sie, dass andere DebugBear-Kunden betroffen waren. 

Größere Erstattungen erfordern laut Bericht eine Verzichtserklärung

Laut CNBC teilte Polymarket Nutzern anschließend auf Discord mit, dass Personen mit Verlusten unter 10.000 US-Dollar ihre Gelder bis zum 30. Oktober zurückerhalten würden.

Nutzer mit Verlusten oberhalb dieser Schwelle mussten dem Bericht zufolge vor der Erstattung eine Verzichtserklärung unterschreiben. Der Bericht klärte weder die Behandlung von Verlusten in Höhe von genau 10.000 US-Dollar noch die vollständigen Bedingungen der Erklärung. 

Der Erstattungszeitplan gibt die erklärte Zusage der Plattform wieder. Er bestätigt nicht, dass bereits alle betroffenen Nutzer ihr Geld erhalten haben.