Gli utenti di Polymarket perdono circa 2,71 milioni di dollari in un attacco tramite script di terze parti

Gli utenti di Polymarket hanno perso circa 2,71 milioni di dollari in un attacco del 29 ottobre che ha coinvolto uno script web di terze parti compromesso, secondo la società di sicurezza GoPlus.

La sua analisi blockchain ha individuato 710 wallet di deposito e 731 indirizzi lungo il percorso principale dell’attacco. GoPlus ha avvertito che questi conteggi di indirizzi non determinano il numero dei singoli utenti colpiti. Polymarket ha promesso di rimborsare i trader coinvolti, ma non ha pubblicato una valutazione definitiva delle perdite. 

Il codice malevolo prendeva di mira le sessioni di trading attive

I ricercatori di Hudson Rock hanno individuato codice progettato per svuotare i wallet in uno script distribuito tramite un’infrastruttura appartenente a DebugBear, fornitore britannico di monitoraggio delle prestazioni dei siti web.

Lo script cercava le sessioni di trading attive degli utenti su Polymarket, esaminava i loro portafogli e tentava di dirottare gli asset. A seconda del tipo di account, il codice cercava di trasferire direttamente i token di posizione oppure di vendere le posizioni prima di trasferire i saldi disponibili.

Le conclusioni di Hudson Rock si basavano sull’esame del codice recuperato. I ricercatori non lo hanno eseguito con un wallet collegato e hanno sottolineato che la presenza di una richiesta di transazione o di firma non dimostrava il successo di ogni azione tentata. 

Gli scambi sono ripresi dopo circa un’ora

Polymarket ha inizialmente limitato la propria piattaforma alla cancellazione degli ordini e sospeso le funzioni di inoltro delle transazioni durante l’indagine. Gli scambi sono ripresi circa un’ora dopo la sospensione iniziale.

La piattaforma ha dichiarato di aver identificato e risolto il problema legato al fornitore e di aver segnalato l’incidente alle forze dell’ordine britanniche. DebugBear ha riconosciuto separatamente un incidente di sicurezza e ha chiesto ai clienti del suo prodotto Real User Monitoring di rimuovere il codice incorporato dai propri siti web. 

Hudson Rock ha inoltre trovato registri delle build di produzione che documentavano la rimozione dell’integrazione DebugBear da parte di Polymarket. L’indagine non ha stabilito il meccanismo della compromissione iniziale né dimostrato che altri clienti di DebugBear fossero stati colpiti. 

I rimborsi maggiori richiederebbero una liberatoria

Secondo CNBC, Polymarket ha successivamente comunicato agli utenti su Discord che chi aveva perso meno di 10.000 dollari avrebbe recuperato i fondi entro il 30 ottobre.

Agli utenti con perdite superiori a tale soglia sarebbe stato richiesto di firmare una liberatoria prima di ricevere il rimborso. Il servizio non ha chiarito il trattamento delle perdite esattamente pari a 10.000 dollari né illustrato tutte le condizioni della liberatoria. 

Il calendario dei rimborsi rappresenta l’impegno dichiarato dalla piattaforma. Non conferma che tutti gli utenti colpiti abbiano già ricevuto il denaro.