Dados de investigações on-chain indicam que um endereço suspeito de pertencer ao invasor da Polymarket converteu os fundos roubados em tokens POL no valor de aproximadamente US$ 2,65 milhões e, em seguida, transferiu 28,64 milhões de POL em várias transações. As operações para ocultar o rastro dos fundos continuam, dificultando consideravelmente o rastreamento on-chain.
Este ataque envolveu a invasão da cadeia de suprimentos de terceiros. Os hackers usaram um script de monitoramento DebugBear adulterado para injetar código malicioso que, quando os usuários acessavam a página, roubava credenciais de sessão e chaves de API, vendia automaticamente as posições dos usuários no mercado de previsões e transferia os ativos. O incidente afetou quase mil contas de usuários. A Polymarket confirmou oficialmente a origem da vulnerabilidade, desativou o serviço de risco e prometeu indenizar integralmente os usuários afetados. O caso também foi encaminhado às autoridades policiais.
Do ponto de vista do fluxo dos fundos, os invasores primeiro converteram os USDC e USDC.e roubados em POL e, em seguida, dividiram o valor em grandes transferências. Analistas de mercado acreditam que converter os ativos em POL e transferi-los em parcelas é uma estratégia típica de lavagem de dinheiro usada por hackers, com o objetivo de contornar o mecanismo de congelamento com um clique dos emissores de stablecoins e reduzir a probabilidade de os ativos serem bloqueados. Até o momento, não foi observado um fluxo de grande escala desses POL para exchanges, e o destino dos fundos continua sob monitoramento.
Pesquisadores de segurança alertam que este já é o segundo ataque semelhante à cadeia de suprimentos do front-end sofrido pela Polymarket nos últimos seis meses. Os contratos inteligentes da plataforma não foram comprometidos; o risco está concentrado em scripts incorporados de terceiros. Esse tipo de ataque é extremamente difícil de detectar, e os usuários dificilmente conseguem distinguir se pop-ups e solicitações de assinatura são interações nativas da plataforma. Se esses POL continuarem sendo enviados para exchanges centralizadas, isso exercerá pressão de venda sobre o mercado de POL; se continuarem sendo divididos e transferidos entre várias carteiras, o processo de rastreamento será ainda mais demorado. Ataques à cadeia de suprimentos de criptoativos são difíceis de evitar. Recomenda-se que usuários que negociam com frequência revoguem periodicamente as autorizações e evitem permanecer conectados às páginas da plataforma por longos períodos.
