Das Geschwindigkeitstest-Skript wurde ausgetauscht: Über 700 Trader verloren innerhalb einer Stunde 2,7 Millionen Dollar
Am 29. Oktober geschah auf der internationalen Website des Prognosemarkts Polymarket etwas völlig Unerwartetes. Diejenigen, denen Geld gestohlen wurde, hatten weder auf einen Phishing-Link geklickt noch ihre Seed-Phrase preisgegeben, und auch kein Smart Contract war gehackt worden. Sie hatten lediglich wie gewohnt die Polymarket-Website geöffnet. Sie waren noch eingeloggt, und schon wurde Geld über ihre eigenen Konten abgezogen.
Das Problem lag bei einem Geschwindigkeitstest-Skript. Auf der Polymarket-Website war ein Skript zur Überwachung echter Nutzer des britischen Unternehmens DebugBear eingebunden, das eigentlich die Ladegeschwindigkeit der Seite messen sollte. Solche Skripte laufen im Browser jedes Besuchers und haben im Grunde dieselben Berechtigungen wie der Code der Website selbst. Am 29. Oktober änderte jemand beim Registrar den Domaineintrag von DebugBear. Ein anderer Server begann zu antworten, und an die Browser der Nutzer wurde statt der Testdatei ein etwa 15 KB großes Diebstahlprogramm ausgeliefert. Die Forscher luden zweimal dieselbe Schadsoftware herunter.
Das Programm stahl auf einfache Weise. Es las die im Browser gespeicherten Anmeldedaten, Wallet-Adressen und Transaktionsnachweise aus, suchte den eigenen Trading-Client von Polymarket auf der Seite und nutzte ihn für seine Aktionen. Die Positionen wurden verkauft und in Polygon-POL umgewandelt. Anschließend wurde das Geld über den eigenen Gas-freien Relay-Dienst der Plattform abgezogen. Laut On-Chain-Daten gab es in der Stunde zwischen 17:10 und 18:10 Uhr 985 nicht autorisierte Abhebungen. Im Wallet des Angreifers gingen 28,6 Millionen POL ein, die zum damaligen Kurs etwa 2,64 Millionen Dollar wert waren. Die Analysefirmen Bubblemaps und Bitquery bezifferten die Gesamtsumme auf rund 2,7 Millionen Dollar; betroffen waren über 700 Konten. Dass sich die Beträge je nach Berechnung um einige Zehntausend Dollar unterscheiden, ändert nichts am Ausmaß des Verlusts.
Polymarket stellte die internationale Website an diesem Nachmittag um 14:05 Uhr auf „nur Stornierungen“ um und nahm den Handel gegen 15:05 Uhr wieder auf. In seiner öffentlichen Stellungnahme erklärte das Unternehmen lediglich, ein Drittanbieter sei kompromittiert worden. Der Fall sei an die Strafverfolgungsbehörden übergeben worden, und betroffene Nutzer würden vollständig entschädigt. Später wurde bekannt gegeben, dass die Entschädigungen insgesamt rund 3,9 Millionen Dollar betrugen: etwa 2,7 Millionen Dollar für die direkt bestohlenen Wallets und weitere rund 1,19 Millionen Dollar für etwa 5.500 Wallets, die während der Unterbrechung Verluste erlitten hatten. Die Nutzer mussten keine Entschädigung selbst beantragen. Die US-Website wird separat betrieben und war diesmal nicht betroffen. Wie die Domain geändert wurde, ist bislang nicht vollständig geklärt.
Ein Punkt verdient besondere Beachtung. In der von Hudson Rock untersuchten Probe fand sich kein Programm, das gezielt Seed-Phrasen oder private Schlüssel nach außen übermittelte. Für diesen Diebstahl mussten keine Schlüssel gestohlen werden: Die angemeldete Browsersitzung selbst war der Zugangsschlüssel. Es ist bereits das zweite Mal in diesem Jahr, dass Polymarket durch einen Drittanbieter zu Schaden kommt. Auch im Juni wurde Frontend-Code ausgetauscht. Selbst noch so streng abgesicherte Smart-Contract-Wallets können möglicherweise nicht vor dem Code anderer auf einer Website schützen.
Für Kleinanleger ändert dieser Vorfall den ersten Punkt auf der Sicherheits-Checkliste. Früher lautete sie: auf große Plattformen setzen, keine Phishing-Links anklicken und die Seed-Phrase sicher verwahren. Jetzt muss ein weiterer Punkt hinzukommen: Auch die Handelsseite selbst kann sich unbemerkt verändern. Die Handelsseite, die du ständig geöffnet hast, und die Anmeldedaten im Browser sind ebenfalls Dinge, die missbraucht werden können. Geld über Nacht auf einem Handelskonto zu lassen, ist etwas völlig anderes, als es im eigenen Wallet aufzubewahren.
Aus diesem Vorfall nehme ich für mich drei Dinge mit. Nach dem Handel ausloggen und die Handelsseite nicht den ganzen Tag im Browser geöffnet lassen. Größere Geldbeträge nicht dauerhaft auf dem Handelskonto liegen lassen, sondern nach Gebrauch an einen Ort abheben, den man selbst kontrolliert. Wenn die Seite plötzlich von selbst Positionen verkauft oder eine unbekannte Autorisierung anzeigt, zuerst die Seite schließen und die Verbindung trennen – nicht einfach den Aufforderungen folgen und weiterklicken.
Meine Meinung ist ganz klar: Wenn ich künftig eine Plattform bewerte, frage ich nicht nur, ob ihre Smart Contracts geprüft wurden, sondern auch, wie viel fremden Code ihre Website ausführt und ob sie diesen im Ernstfall sofort vollständig abschalten kann. Bei einer Plattform, die darauf keine Antwort hat, lasse ich keine größeren Beträge eingeloggt liegen. Loggst du dich nach dem Handel normalerweise aus, oder bleibt die Seite bei dir ständig geöffnet?
—— Web3-Lauch Xiaokai
Dieser Beitrag gibt ausschließlich meine persönliche Meinung wieder und stellt keine Anlageberatung dar. Die Daten stammen aus öffentlichen Stellungnahmen von Polymarket sowie öffentlichen Recherchen von Hudson Rock, Bitquery und Bubblemaps. Die Beträge unterscheiden sich je nach Berechnung geringfügig. Bitte beurteile die Risiken selbst.
#Polymarket #DeFi安全 #供应链攻击 #Wallet-Sicherheit