Polymarket zwróci użytkownikom pieniądze po tym, jak hakerzy ukradli 3 mln dolarów w ataku na frontend

Polymarket potwierdził w piątek, że skompromitowany dostawca zewnętrzny pozwolił napastnikom na wstrzyknięcie złośliwego kodu do jego frontendu, co doprowadziło do utraty około 3 milionów dolarów z mniej niż 15 kont użytkowników.

Platforma informuje, że w pełni zwróci pieniądze wszystkim dotkniętym użytkownikom.

Co się stało

Atak został po raz pierwszy zgłoszony przez badacza bezpieczeństwa on-chain, Spectera, który opublikował, że oczywista kampania phishingowa wyczerpała środki z ponad 11 portfeli ofiar posiadających stablecoin PUSD Polymarket.

Wówczas oszacowano straty na 2,94 miliona dolarów, a PeckShield potwierdził tę kwotę krótko później, zauważając, że napastnik przeniósł skradzione fundusze z Polygon do Ethereum i zamienił je na 1,893 ETH.

Rynek prognoz uznał naruszenie przez jedno ze swoich oficjalnych kont, Polymarket Traders.

„Dziś rano odkryliśmy, że skompromitowany został dostawca zewnętrzny, który wstrzyknął złośliwy skrypt do naszego frontendu dla niektórych użytkowników. Zatrzymaliśmy to i usunęliśmy dotknięte zależności,” napisano na X. „Kontaktujemy się z dotkniętymi użytkownikami i zwracamy im pełną kwotę.”

William LeGate, który ściśle współpracuje z platformą, potwierdził wiadomości o odszkodowaniu, powtarzając, że problem został rozwiązany i że dotknięci użytkownicy otrzymają swoje pieniądze w całości.

Inne konto zabezpieczeń blockchain, GoPlus Security, opisało incydent jako atak na łańcuch dostaw. Stwierdziło, że złośliwy kod wpłynął na około 15 kont, a straty wyniosły łącznie 3 miliony dolarów, co również zostało potwierdzone przez Bubblemaps, które pochwaliło reakcję Polymarket po opanowaniu strat.

Powtarzający się problem

To nie pierwszy raz, kiedy Polymarket został zaatakowany. W zeszłym miesiącu platforma ujawniła kolejny incydent, w którym portfel administracyjny używany do doładowania nagród dla pracowników został opróżniony o około 700 000 dolarów, prawdopodobnie przez kompromitację klucza prywatnego. Na początku, detektyw kryptowalutowy ZachXBT oszacował straty na około 520 000 dolarów, a Bubblemaps później podał wyższą kwotę po śledzeniu funduszy w kilku adresach.

Programista Josh Stevens potwierdził wówczas, że 6-letni klucz prywatny został ujawniony przez wewnętrzną konfigurację i że firma od tego czasu zmieniła dane uwierzytelniające i przeszła na usługi zarządzania kluczami. Jednak ten incydent nie dotknął funduszy użytkowników ani podstawowych kontraktów.

Chociaż dwa incydenty dotyczyły różnych metod ataku, oba miały na celu systemy poza samymi rynkami prognoz Polymarket. Co więcej, najnowszy z nich miał miejsce w czasie, gdy platforma już zmaga się z innymi problemami reputacyjnymi, w tym z niedawnym raportem Wall Street Journal, który twierdził, że płaciła twórcom w wieku studenckim od 2 000 do 3 000 dolarów miesięcznie za publikowanie filmów z inscenizowanymi zakładami na fałszywych wersjach strony Polymarket, przy czym ani jeden z ponad 1 100 klipów nie był możliwy do powiązania z rzeczywistą aktywnością na blockchainie.

Na początku tego miesiąca miała również miejsce inna kontrowersja, gdy trader twierdził, że stracił 500 000 dolarów po tym, jak usługa prognozowania rzekomo zmieniła zasady rozstrzygania dla rynku związanego ze sprzedażą Bitcoina przez Strategy.

Źródło: CryptoPotato