Polymarket-gebruikers verliezen naar schatting 2,71 miljoen dollar door aanval via script van derde partij

Polymarket-gebruikers verloren bij een aanval op 29 oktober via een gecompromitteerd websitescript van een derde partij ongeveer 2,71 miljoen dollar, meldt beveiligingsbedrijf GoPlus.

De blockchainanalyse identificeerde 710 stortingswallets en 731 adressen langs de belangrijkste aanvalsroute. GoPlus waarschuwde dat deze aantallen adressen niet het aantal getroffen individuele gebruikers vaststellen. Polymarket heeft beloofd getroffen handelaren te vergoeden, maar heeft nog geen definitieve verliesraming gepubliceerd. 

Kwaadaardige code richtte zich op actieve handelssessies

Onderzoekers van Hudson Rock ontdekten code om wallets leeg te halen in een script dat werd geleverd via infrastructuur van DebugBear, een Britse aanbieder van monitoring van websiteprestaties.

Het script zocht naar actieve Polymarket-handelssessies van gebruikers, onderzocht hun portefeuilles en probeerde activa om te leiden. Afhankelijk van het accounttype probeerde de code positietokens rechtstreeks over te dragen of posities te verkopen voordat beschikbare tegoeden werden overgemaakt.

De bevindingen van Hudson Rock waren gebaseerd op onderzoek van de opgehaalde code. De onderzoekers voerden die niet uit met een verbonden wallet en benadrukten dat een transactie- of ondertekenverzoek niet bewees dat elke poging was geslaagd. 

Handel na ongeveer een uur hervat

Polymarket beperkte zijn handelsplatform aanvankelijk tot het annuleren van orders en pauzeerde tijdens het onderzoek de functies voor het doorsturen van transacties. De handel werd ongeveer een uur na de eerste opschorting hervat.

Het platform zei het probleem bij de dienstverlener te hebben geïdentificeerd en verholpen en het incident te hebben gemeld aan Britse opsporingsinstanties. DebugBear erkende afzonderlijk een beveiligingsincident en droeg klanten van zijn product Real User Monitoring op de ingesloten code van hun websites te verwijderen. 

Hudson Rock vond ook productiebouwlogboeken die documenteerden dat Polymarket de DebugBear-integratie had verwijderd. Het onderzoek stelde niet vast hoe de oorspronkelijke inbraak plaatsvond en toonde niet aan dat andere DebugBear-klanten waren getroffen. 

Grotere vergoedingen vereisen naar verluidt een afstandsverklaring

Volgens CNBC vertelde Polymarket gebruikers vervolgens op Discord dat degenen die minder dan 10.000 dollar hadden verloren, hun geld uiterlijk op 30 oktober zouden terugkrijgen.

Gebruikers met verliezen boven die grens moesten naar verluidt een afstandsverklaring ondertekenen voordat zij een vergoeding ontvingen. Het bericht verduidelijkte niet hoe verliezen van precies 10.000 dollar zouden worden behandeld en beschreef evenmin de volledige voorwaarden van de verklaring. 

Het vergoedingsschema weerspiegelt de toezegging van het platform. Het bevestigt niet dat alle getroffen gebruikers hun geld al hebben ontvangen.