995 contas da Polymarket foram saqueadas. Este ataque foi o que realmente acabou com as ilusões de muita gente.
Não houve domínio falso nem airdrop de phishing. Os usuários acessaram o site oficial polymarket.com.
O problema foi que o script da ferramenta de terceiros DebugBear, incorporada ao site para medir o desempenho, foi comprometido. No navegador, o script acessava diretamente sua sessão de login e agia automaticamente:
primeiro, vendia todas as posições com um desconto de 3% em relação ao preço de mercado; se não conseguisse, pela metade do preço, até liquidar tudo pelo menor preço possível;
depois, convertia todos os saldos em POL e os transferia para o atacante.
Ainda há uma chance de congelar stablecoins, mas a POL não tem essa opção.
O script também enviava dados de volta: endereço da carteira, região, tamanho da conta e se a transferência havia sido bem-sucedida — tudo ia parar nas mãos do atacante.
A carteira do atacante foi de zero a 2 milhões de dólares em 45 minutos. Conor Grogan calculou que as perdas finais chegaram a 2,65 milhões.
Um trader viu com os próprios olhos o sistema fechar automaticamente sua posição de 800 mil; um amigo dele também perdeu 600 mil.
Após o incidente, a Polymarket mudou às pressas para um modo em que só era possível cancelar ordens, suspendeu os retransmissores e prometeu reembolsar integralmente as perdas — um ponto positivo.
Mas este já é o terceiro incidente do tipo neste ano.
Em maio, foram roubados cerca de 700 mil; em junho, 3 milhões. Todos foram ataques à cadeia de suprimentos do front-end, causados pelo comprometimento de scripts de terceiros.
Já passei por phishing e já tive minha conta saqueada. Depois de tanto tempo neste meio, sei que os riscos estão sempre à espreita.
Mas as vítimas desta vez não fizeram nada de errado: apenas acessaram o site oficial normalmente.
O mais irônico é que passamos dez anos aperfeiçoando contratos e auditando blockchains, alardeando que a criptografia subjacente era inexpugnável.
E, no fim, um script insignificante de medição de desempenho do site foi o bastante para desviar os fundos dos usuários. $HYPE
Não houve domínio falso nem airdrop de phishing. Os usuários acessaram o site oficial polymarket.com.
O problema foi que o script da ferramenta de terceiros DebugBear, incorporada ao site para medir o desempenho, foi comprometido. No navegador, o script acessava diretamente sua sessão de login e agia automaticamente:
primeiro, vendia todas as posições com um desconto de 3% em relação ao preço de mercado; se não conseguisse, pela metade do preço, até liquidar tudo pelo menor preço possível;
depois, convertia todos os saldos em POL e os transferia para o atacante.
Ainda há uma chance de congelar stablecoins, mas a POL não tem essa opção.
O script também enviava dados de volta: endereço da carteira, região, tamanho da conta e se a transferência havia sido bem-sucedida — tudo ia parar nas mãos do atacante.
A carteira do atacante foi de zero a 2 milhões de dólares em 45 minutos. Conor Grogan calculou que as perdas finais chegaram a 2,65 milhões.
Um trader viu com os próprios olhos o sistema fechar automaticamente sua posição de 800 mil; um amigo dele também perdeu 600 mil.
Após o incidente, a Polymarket mudou às pressas para um modo em que só era possível cancelar ordens, suspendeu os retransmissores e prometeu reembolsar integralmente as perdas — um ponto positivo.
Mas este já é o terceiro incidente do tipo neste ano.
Em maio, foram roubados cerca de 700 mil; em junho, 3 milhões. Todos foram ataques à cadeia de suprimentos do front-end, causados pelo comprometimento de scripts de terceiros.
Já passei por phishing e já tive minha conta saqueada. Depois de tanto tempo neste meio, sei que os riscos estão sempre à espreita.
Mas as vítimas desta vez não fizeram nada de errado: apenas acessaram o site oficial normalmente.
O mais irônico é que passamos dez anos aperfeiçoando contratos e auditando blockchains, alardeando que a criptografia subjacente era inexpugnável.
E, no fim, um script insignificante de medição de desempenho do site foi o bastante para desviar os fundos dos usuários. $HYPE
