995 Polymarket-Konten wurden geplündert. Dieser Angriff hat die Illusionen vieler Menschen endgültig platzen lassen.
Keine gefälschte Domain, kein Phishing-Airdrop. Die Nutzer öffneten die echte Website polymarket.com.
Das Problem: Das Skript des eingebetteten Drittanbieter-Tools DebugBear zur Messung der Website-Geschwindigkeit war kompromittiert worden. Im Browser griff das Skript direkt auf die Anmeldesitzung der Nutzer zu und führte automatisch folgende Aktionen aus:
Zuerst wurden alle Positionen mit einem Abschlag von 3 % zum Marktpreis verkauft. Wenn das nicht klappte, ging es mit einem Abschlag von 50 % weiter, bis schließlich zum niedrigsten Preis alles abgestoßen war;
dann wurde das gesamte Guthaben in POL umgetauscht und an den Angreifer überwiesen.
Stablecoins lassen sich unter Umständen noch einfrieren, bei POL gibt es jedoch keine Möglichkeit dazu.
Das Skript übermittelte außerdem Daten zurück: Wallet-Adressen, Standort, Kontogröße und ob eine Überweisung erfolgreich war – alles landete beim Angreifer.
Das Wallet des Angreifers wuchs innerhalb von 45 Minuten von null auf zwei Millionen Dollar. Laut der Berechnung von Conor Grogan belief sich der endgültige Schaden auf 2,65 Millionen Dollar.
Ein Trader musste mit eigenen Augen zusehen, wie das System automatisch seine Position im Wert von 800.000 Dollar schloss. Auch ein Freund von ihm verlor 600.000 Dollar.
Nach dem Vorfall wechselte Polymarket in einem Notfall zu einem Modus, in dem nur noch Stornierungen möglich waren, setzte die Relayer aus und versprach eine vollständige Entschädigung. Das ist anzuerkennen.
Doch dies ist bereits der dritte ähnliche Vorfall in diesem Jahr.
Im Mai wurden rund 700.000 Dollar gestohlen, im Juni drei Millionen. In allen Fällen handelte es sich um Angriffe auf die Frontend-Lieferkette, bei denen Skripte von Drittanbietern kompromittiert wurden.
Ich habe Phishing erlebt und mein Konto wurde schon geplündert. Wenn man lange genug in dieser Branche ist, weiß man, dass die Risiken allgegenwärtig sind.
Doch die Opfer dieses Vorfalls haben nichts falsch gemacht – sie haben einfach ganz normal die offizielle Website geöffnet.
Das Ironischste daran: Wir haben zehn Jahre damit verbracht, Smart Contracts zu optimieren und Blockchains zu auditieren, und dabei die Kryptografie auf der Basisebene als unknackbar angepriesen.
Und dann reicht ein unscheinbares Skript zur Messung der Website-Geschwindigkeit, um die Gelder der Nutzer direkt abzuziehen. $HYPE
Keine gefälschte Domain, kein Phishing-Airdrop. Die Nutzer öffneten die echte Website polymarket.com.
Das Problem: Das Skript des eingebetteten Drittanbieter-Tools DebugBear zur Messung der Website-Geschwindigkeit war kompromittiert worden. Im Browser griff das Skript direkt auf die Anmeldesitzung der Nutzer zu und führte automatisch folgende Aktionen aus:
Zuerst wurden alle Positionen mit einem Abschlag von 3 % zum Marktpreis verkauft. Wenn das nicht klappte, ging es mit einem Abschlag von 50 % weiter, bis schließlich zum niedrigsten Preis alles abgestoßen war;
dann wurde das gesamte Guthaben in POL umgetauscht und an den Angreifer überwiesen.
Stablecoins lassen sich unter Umständen noch einfrieren, bei POL gibt es jedoch keine Möglichkeit dazu.
Das Skript übermittelte außerdem Daten zurück: Wallet-Adressen, Standort, Kontogröße und ob eine Überweisung erfolgreich war – alles landete beim Angreifer.
Das Wallet des Angreifers wuchs innerhalb von 45 Minuten von null auf zwei Millionen Dollar. Laut der Berechnung von Conor Grogan belief sich der endgültige Schaden auf 2,65 Millionen Dollar.
Ein Trader musste mit eigenen Augen zusehen, wie das System automatisch seine Position im Wert von 800.000 Dollar schloss. Auch ein Freund von ihm verlor 600.000 Dollar.
Nach dem Vorfall wechselte Polymarket in einem Notfall zu einem Modus, in dem nur noch Stornierungen möglich waren, setzte die Relayer aus und versprach eine vollständige Entschädigung. Das ist anzuerkennen.
Doch dies ist bereits der dritte ähnliche Vorfall in diesem Jahr.
Im Mai wurden rund 700.000 Dollar gestohlen, im Juni drei Millionen. In allen Fällen handelte es sich um Angriffe auf die Frontend-Lieferkette, bei denen Skripte von Drittanbietern kompromittiert wurden.
Ich habe Phishing erlebt und mein Konto wurde schon geplündert. Wenn man lange genug in dieser Branche ist, weiß man, dass die Risiken allgegenwärtig sind.
Doch die Opfer dieses Vorfalls haben nichts falsch gemacht – sie haben einfach ganz normal die offizielle Website geöffnet.
Das Ironischste daran: Wir haben zehn Jahre damit verbracht, Smart Contracts zu optimieren und Blockchains zu auditieren, und dabei die Kryptografie auf der Basisebene als unknackbar angepriesen.
Und dann reicht ein unscheinbares Skript zur Messung der Website-Geschwindigkeit, um die Gelder der Nutzer direkt abzuziehen. $HYPE
