Külső szolgáltató szkriptjén át loptak a Polymarket kereskedőitől
Jogosulatlan pénzkivonások miatt állt le átmenetileg a Polymarket nemzetközi kereskedési felülete október 29-én. A kárra több becslés is született: a GoPlus körülbelül 2,71 millió dollárról ír. A kutatók egy külső szolgáltató, a DebugBear szkriptjéhez kötik a támadást.
Leállt, majd újraindult a kereskedés
A felhasználók jogosulatlan pénzkivonásokról számoltak be, mire a Polymarket először olyan módra váltott, amelyben csak a megbízások visszavonása volt engedélyezett. A közvetítői műveleteket is felfüggesztették, majd nagyjából egy óra elteltével újraindult a kereskedés.
A Polymarket közlése szerint azonosították és kijavították a nemzetközi platformot érintő problémát. Egy külső szolgáltatóját kompromittálták, az ügyet pedig továbbította az illetékes bűnüldöző szerveknek. A társaság azt ígérte, hogy minden érintettet kártalanít.
A vállalat nem nevezte meg a közlésében a szolgáltatót. A kutatók viszont a DebugBear címéről kiszolgált kártékony kódhoz kapcsolták a lopást. Az amerikai platformot a beszámoló szerint nem érintette az eset.
A bejelentkezett fiók jogosultságait használta ki a kód
A Hudson Rock megszerezte a Polymarket által használt DebugBear-címről a kártékony JavaScript egy példányát. Vizsgálata szerint a kód a bejelentkezett felhasználó kereskedési eszközeit és portfólióját kereste.
A fiók típusától függően megpróbálta eladni a pozíciókat és továbbítani a bevételt, vagy közvetlenül egy támadó által megadott címre küldeni a pozíciókat képviselő tokeneket. A kutatók szerint ehhez az alkalmazásban már rendelkezésre álló jogosultságokat használta fel.
A minta hitelesítéshez kapcsolódó adatokat is olvasott, de az elemzés nem talált olyan működést, amely a hitelesítési adatokat, jelszót, helyreállító kifejezést vagy privát kulcsot továbbított volna a jelentésfogadó címre. A Hudson Rock egy éles Polymarket-kiadásban a DebugBear-szkript eltávolításáról szóló módosítási bejegyzést is talált.
A DebugBear a mérőkód eltávolítását kérte
A weboldalak teljesítményét figyelő DebugBear megerősítette, hogy folyamatban lévő biztonsági incidens érinti. Arra kérte a tényleges felhasználói látogatásokat figyelő, RUM nevű termékének használóit, hogy távolítsák el a hozzá tartozó kódrészletet a weboldalaikról. A cég incidenskezeléssel foglalkozó szakembereket is bevont.
A Hudson Rock vizsgálata nem derítette ki, hogyan módosították a szkriptet, és azt sem, hány felhasználót ért kár. Az eredmények nem utalnak arra, hogy a DebugBear más ügyfeleit is célba vették volna.
A veszteség pontos összege és az érintettek száma nem ismert
A GoPlus blokklánc-elemzése körülbelül 2,71 millió dollárra becsülte a veszteséget. A cég szerint a támadás fő útvonala 710 befizetési tárcán és 731 címen haladt át, de a címek száma nem egyezik meg az áldozatok számával.
A Hudson Rock által látott képernyőképen nagyjából 2,19 millió dollár szerepelt a szkriptbe tartalék fogadóként beírt címen. A kutatócég hangsúlyozta, hogy ez nem ellenőrzött összesítés. Az Arkham adatai szerint ugyanezen a feltételezett támadói címen hozzávetőleg 2,65 millió dollár volt.
A Polymarket júniusban egy másik, külső szolgáltatóhoz kötődő kompromittálódásról is beszámolt. Akkor kártékony szkript került a kezelőfelületére, és a jelentett veszteség körülbelül 3 millió dollár volt.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum