Usuários da Polymarket perdem cerca de US$ 2,71 milhões em ataque por script de terceiros

Usuários da Polymarket perderam aproximadamente US$ 2,71 milhões em um ataque de 29 de outubro envolvendo um script de terceiros comprometido no site, segundo a empresa de segurança GoPlus.

Sua análise de blockchain identificou 710 carteiras de depósito e 731 endereços ao longo da principal rota do ataque. A GoPlus alertou que essas contagens de endereços não determinam o número de usuários individuais afetados. A Polymarket prometeu reembolsar os participantes atingidos, mas não publicou uma avaliação final das perdas. 

Código malicioso mirou sessões de negociação ativas

Pesquisadores da Hudson Rock identificaram código para esvaziar carteiras em um script distribuído por uma infraestrutura pertencente à DebugBear, fornecedora britânica de monitoramento de desempenho de sites.

O script procurava sessões ativas de negociação na Polymarket, examinava os portfólios dos usuários e tentava desviar ativos. Dependendo do tipo de conta, o código buscava transferir diretamente os tokens de posição ou vender as posições antes de transferir os saldos disponíveis.

As descobertas da Hudson Rock se basearam na análise do código obtido. Os pesquisadores não o executaram com uma carteira conectada e ressaltaram que a presença de uma solicitação de transação ou assinatura não comprovava que todas as ações tentadas haviam sido bem-sucedidas. 

Negociações foram retomadas após aproximadamente uma hora

A Polymarket inicialmente restringiu sua plataforma ao cancelamento de ordens e pausou as funções de retransmissão de transações durante a investigação. As negociações foram retomadas aproximadamente uma hora após a suspensão inicial.

A plataforma afirmou ter identificado e corrigido o problema relacionado ao fornecedor e encaminhado o incidente às autoridades policiais do Reino Unido. Separadamente, a DebugBear reconheceu um incidente de segurança e orientou os clientes de seu produto Real User Monitoring a remover o código incorporado de seus sites. 

A Hudson Rock também encontrou registros de builds de produção que documentavam a remoção da integração com a DebugBear pela Polymarket. Sua investigação não estabeleceu o mecanismo inicial da invasão nem demonstrou que outros clientes da DebugBear haviam sido afetados. 

Reembolsos maiores exigiriam termo de quitação

Segundo a CNBC, a Polymarket informou posteriormente aos usuários no Discord que aqueles que perderam menos de US$ 10 mil teriam seus fundos restituídos até 30 de outubro.

De acordo com a reportagem, usuários com perdas acima desse limite precisavam assinar um termo de quitação antes de receber o reembolso. O relato não esclareceu o tratamento de perdas de exatamente US$ 10 mil nem detalhou todas as condições do documento. 

O cronograma de reembolso representa o compromisso declarado pela plataforma. Ele não confirma que todos os usuários afetados já receberam seu dinheiro.