تعرّضت 995 حسابًا على Polymarket للنهب، وكان هذا الهجوم هو ما بدّد أوهام الكثيرين حقًا.
لم يكن هناك نطاق مزيف ولا توزيعات مجانية احتيالية. المستخدمون فتحوا الموقع الرسمي polymarket.com.
المشكلة أن نص أداة قياس السرعة التابعة لجهة خارجية DebugBear والمضمّنة في الموقع قد تم تسميمه. حصل النص مباشرةً على جلسة تسجيل دخولك داخل المتصفح، ونفّذ تلقائيًا ما يلي:
باع جميع مراكزك بسعر السوق وبخصم 3%؛ وإذا تعذّر ذلك، خفّض السعر إلى النصف، ثم واصل خفضه إلى أدنى سعر لتصفية المراكز؛
ثم حوّل جميع الأرصدة إلى POL وأرسلها إلى المهاجم.
يمكن تجميد العملات المستقرة، لكن POL لا يتيح خيار التجميد.
كما أرسل النص البيانات إلى المهاجم: عنوان المحفظة، والمنطقة، وحجم الحساب، وما إذا كانت التحويلات قد نجحت؛ كل ذلك وصل إلى المهاجم.
ارتفع رصيد محفظة المهاجم من صفر إلى مليوني دولار خلال 45 دقيقة، وقدّر Conor Grogan الخسائر النهائية بنحو 2.65 مليون دولار.
شاهد أحد المتداولين بعينيه النظام وهو يغلق تلقائيًا مركزًا له بقيمة 800 ألف، كما خسر صديقه 600 ألف.
بعد وقوع الحادث، حوّلت Polymarket الموقع على وجه السرعة إلى وضع يسمح بإلغاء الأوامر فقط، وأوقفت المرحّلات، وتعهدت بتعويض كامل الخسائر؛ وهذا أمر يستحق التقدير.
لكن هذه ثالث حادثة من النوع نفسه هذا العام.
سُرقت نحو 700 ألف في مايو، و3 ملايين في يونيو، وفي الحالتين كان السبب هجمات على سلسلة توريد الواجهة الأمامية عبر اختراق نصوص برمجية تابعة لجهات خارجية.
لقد تعرضت للاحتيال عبر التصيّد، وسُلبت أموالي من حسابي. وبعد سنوات طويلة في هذا المجال، كنت أعرف أن المخاطر تلازمنا كظلنا.
لكن ضحايا هذه الموجة لم يرتكبوا أي خطأ، بل اكتفوا بفتح الموقع الرسمي كالمعتاد.
والمفارقة الأكثر سخرية أننا أمضينا عشر سنوات في صقل العقود وتدقيق سلاسل الكتل، والتباهي بأن التشفير الأساسي منيـع لا يُخترق.
وفي النهاية، جاء نص تافه لقياس سرعة صفحة ويب وأرسل أموال المستخدمين مباشرةً إلى المهاجم.$HYPE
لم يكن هناك نطاق مزيف ولا توزيعات مجانية احتيالية. المستخدمون فتحوا الموقع الرسمي polymarket.com.
المشكلة أن نص أداة قياس السرعة التابعة لجهة خارجية DebugBear والمضمّنة في الموقع قد تم تسميمه. حصل النص مباشرةً على جلسة تسجيل دخولك داخل المتصفح، ونفّذ تلقائيًا ما يلي:
باع جميع مراكزك بسعر السوق وبخصم 3%؛ وإذا تعذّر ذلك، خفّض السعر إلى النصف، ثم واصل خفضه إلى أدنى سعر لتصفية المراكز؛
ثم حوّل جميع الأرصدة إلى POL وأرسلها إلى المهاجم.
يمكن تجميد العملات المستقرة، لكن POL لا يتيح خيار التجميد.
كما أرسل النص البيانات إلى المهاجم: عنوان المحفظة، والمنطقة، وحجم الحساب، وما إذا كانت التحويلات قد نجحت؛ كل ذلك وصل إلى المهاجم.
ارتفع رصيد محفظة المهاجم من صفر إلى مليوني دولار خلال 45 دقيقة، وقدّر Conor Grogan الخسائر النهائية بنحو 2.65 مليون دولار.
شاهد أحد المتداولين بعينيه النظام وهو يغلق تلقائيًا مركزًا له بقيمة 800 ألف، كما خسر صديقه 600 ألف.
بعد وقوع الحادث، حوّلت Polymarket الموقع على وجه السرعة إلى وضع يسمح بإلغاء الأوامر فقط، وأوقفت المرحّلات، وتعهدت بتعويض كامل الخسائر؛ وهذا أمر يستحق التقدير.
لكن هذه ثالث حادثة من النوع نفسه هذا العام.
سُرقت نحو 700 ألف في مايو، و3 ملايين في يونيو، وفي الحالتين كان السبب هجمات على سلسلة توريد الواجهة الأمامية عبر اختراق نصوص برمجية تابعة لجهات خارجية.
لقد تعرضت للاحتيال عبر التصيّد، وسُلبت أموالي من حسابي. وبعد سنوات طويلة في هذا المجال، كنت أعرف أن المخاطر تلازمنا كظلنا.
لكن ضحايا هذه الموجة لم يرتكبوا أي خطأ، بل اكتفوا بفتح الموقع الرسمي كالمعتاد.
والمفارقة الأكثر سخرية أننا أمضينا عشر سنوات في صقل العقود وتدقيق سلاسل الكتل، والتباهي بأن التشفير الأساسي منيـع لا يُخترق.
وفي النهاية، جاء نص تافه لقياس سرعة صفحة ويب وأرسل أموال المستخدمين مباشرةً إلى المهاجم.$HYPE
