Użytkownicy Polymarket stracili około 2,71 mln dolarów w ataku przez skrypt zewnętrznego dostawcy

Użytkownicy Polymarket stracili około 2,71 mln dolarów w ataku z 29 października z wykorzystaniem przejętego skryptu internetowego zewnętrznego dostawcy - informuje firma bezpieczeństwa GoPlus.

Jej analiza blockchain zidentyfikowała 710 portfeli depozytowych i 731 adresów na głównej ścieżce ataku. GoPlus zastrzegł, że liczby adresów nie określają liczby poszczególnych poszkodowanych użytkowników. Polymarket obiecał zwrócić środki uczestnikom dotkniętym atakiem, ale nie opublikował ostatecznej oceny strat. 

Złośliwy kod atakował aktywne sesje handlowe

Badacze Hudson Rock zidentyfikowali kod służący do opróżniania portfeli w skrypcie dostarczanym przez infrastrukturę DebugBear, brytyjskiego dostawcy monitorowania wydajności stron internetowych.

Skrypt wyszukiwał aktywne sesje handlowe użytkowników Polymarket, sprawdzał ich portfele inwestycyjne i próbował przekierowywać aktywa. W zależności od rodzaju konta kod dążył do bezpośredniego transferu tokenów pozycji albo do sprzedaży pozycji przed przesłaniem dostępnych sald.

Ustalenia Hudson Rock opierały się na analizie pozyskanego kodu. Badacze nie uruchamiali go z podłączonym portfelem i podkreślili, że obecność żądania transakcji lub podpisu nie dowodziła powodzenia każdej próby. 

Handel wznowiono po około godzinie

Polymarket początkowo ograniczył działanie platformy do anulowania zleceń i wstrzymał funkcje przekazywania transakcji na czas dochodzenia. Handel przywrócono około godziny po pierwszym zawieszeniu.

Platforma poinformowała, że zidentyfikowała i naprawiła problem związany z dostawcą oraz zgłosiła incydent brytyjskim organom ścigania. DebugBear osobno potwierdził incydent bezpieczeństwa i polecił klientom produktu Real User Monitoring usunięcie osadzonego kodu ze swoich stron. 

Hudson Rock znalazł również zapisy kompilacji produkcyjnych dokumentujące usunięcie integracji DebugBear przez Polymarket. Dochodzenie nie ustaliło mechanizmu początkowego włamania ani nie wykazało, że ucierpieli inni klienci DebugBear. 

Większe zwroty mają wymagać zrzeczenia się roszczeń

Według CNBC Polymarket poinformował następnie użytkowników na Discordzie, że osoby, które straciły mniej niż 10 tys. dolarów, odzyskają środki do 30 października.

Użytkownicy ze stratami powyżej tego progu mieli być zobowiązani do podpisania formularza zrzeczenia się roszczeń przed otrzymaniem zwrotu. Materiał nie wyjaśnił postępowania przy stratach wynoszących dokładnie 10 tys. dolarów ani nie przedstawił pełnych warunków dokumentu. 

Harmonogram zwrotów odzwierciedla zobowiązanie zadeklarowane przez platformę. Nie potwierdza, że wszyscy poszkodowani użytkownicy już otrzymali pieniądze.