🚨 خسرت Polymarket مبلغ 2.73 مليون دولار عبر 737 حسابًا في ساعة واحدة. استغل المهاجمون برنامجًا موثوقًا للمواقع الإلكترونية، وليس عقدًا ذكيًا معطوبًا.
في 29 أكتوبر، استغل مهاجمون شفرة JavaScript خبيثة وُزّعت عبر DebugBear، وهي خدمة خارجية لمراقبة المواقع الإلكترونية مدمجة في Polymarket.
اكتشف باحثو الأمن شفرة JavaScript خبيثة وُزّعت عبر البنية التحتية لـ DebugBear. صُممت لتحديد مستخدمي Polymarket المسجّلين، وفحص أرصدتهم ومراكزهم، واستغلال وظائف التداول الموجودة في المنصة.
إليك كيف جرت العملية:
🕔 17:10 بالتوقيت العالمي المنسق: أُفرغت أرصدة الحسابات الخمسة الأولى خلال ثلاث دقائق. خسر أحدها نحو $75K.
🕔 17:25: بعد توقف دام 13 دقيقة، بدأت الموجة الرئيسية لعمليات السحب الآلية، ووصلت إلى 40 عملية إفراغ في الدقيقة.
🕔 17:45: حذّر المتداول كار المستخدمين علنًا. وكان نحو 48% من إجمالي الخسائر التي بلغت في النهاية $2.73M قد وقع بالفعل.
🕕 18:05: سجّلت صفحة حالة Polymarket تفعيل وضع الإلغاء فقط، وتوقف نشاط مُرحِّل المعاملات.
🕕 18:10: سجّلت Bitquery آخر عملية إفراغ في الموجة الرئيسية للهجوم. وبعد نحو 30 ثانية، توقف مُرحِّل المعاملات عن الاستجابة.
🕕 18:37: أعلنت Polymarket أنها حدّدت المشكلة وأصلحتها.
🕕 18:52: استأنف مُرحِّل المعاملات نشاطه. ورُصدت عملية سحب أخرى بقيمة $10.99 عند الساعة 19:11.
يحتفظ مستخدمو Polymarket بأموالهم في محافظ إيداع ذكية على Polygon. وتُحفظ أرصدتهم بالدولار على هيئة pUSD، المدعوم بنسبة 1:1 بعملة USDC.
استغل النشاط الخبيث المسار المعتاد للمعاملات: إذ أُرسلت موافقات المحافظ عبر مُرحِّل المعاملات الخاص بـPolymarket، الذي نفّذ عمليات السحب. وحُوّلت الأموال من pUSD إلى USDC، ثم استُبدلت بعملة POL ونُقلت إلى محافظ يسيطر عليها المهاجمون.
تتبّعت Bitquery عدد 985 عملية سحب شملت 737 حسابًا، بإجمالي يقارب $2.73M.
التفصيل الحاسم: تضمنت كل عملية سحب جرى تتبعها موافقة صالحة من المحفظة. ولم يُحدَّد أي خلل في عقد ذكي. تؤكد سلسلة الكتل وجود الموافقات، لكنها لا تستطيع تحديد من أنشأها بشكل مستقل.
علّقت Polymarket التداول مؤقتًا، ثم أعادت المنصة إلى العمل، وتعهدت بتعويض المستخدمين المتضررين.
ما الدرس المستفاد؟ لا يكفي حماية المفاتيح الخاصة عندما تكون برمجيات الجهات الخارجية المخترقة قادرة على إساءة استخدام بيئة معاملات موثّقة.
هذه ليست نصيحة مالية.
$POL
#أمن_العملات_المشفرة #Polygon #Web3