币安被黑的同一个凌晨,Polymarket 先出了事,被一段网站测速脚本掏走至少 270 万美元。
那是北京时间 10 月 30 日快 2 点,比币安 5 点 15 分发第一条公告早了 3 个多小时。Discord 里有用户喊钱没授权就被转走了。
2 点刚过,Polymarket 把交易所切成只能撤单。2 点半过后确认是一家第三方服务商被攻破,答应受影响的人全额赔。
3 点前后交易恢复,前后停了一个小时左右。
出事的服务商叫 DebugBear,做网站性能监控。客户要在网页里嵌一段 JS 测加载速度,Polymarket 也嵌了。
这次放在 DebugBear 自家 CDN 上的那段 JS 被换成了盗币代码,安全公司 Hudson Rock 最先发现。
DebugBear 凌晨 2 点在 X 上认了出事,让客户赶紧撤掉这段代码。Polymarket 那边几乎同时提交了删脚本的代码。
BleepingComputer 拆了样本。脚本先看你有没有登录 Polymarket,登录了就借你现成的交易会话,查余额、查仓位。
然后要么替你把仓位卖掉,要么把份额和币直接转去攻击者地址。整个过程,用户没点任何链接。
链上分析公司 Betting Intelligence 和 Polysights 算出来,一个账户从 700 多个钱包里提走了至少 270 万美元。
Polymarket 官方 10 月 30 日晚说,726 个受害钱包里 689 个已全额退款,剩下 37 个核实完再赔,暂停交易时亏了钱的约 5500 个钱包另补 119 万美元,一共退 390 万。CNBC 报道,Polymarket 在 Discord 里说损失 1 万美元以上的要先签免责协议才赔。
今年 6 月 Polymarket 已经出过一次第三方供应商被攻破。同一类坑踩了两次,11 月 3 日就是美国中期选举,正是流量最大的时候。
前端供应链攻击最难防的地方,是用户这头几乎使不上劲。你什么都没做错,网站自己把有毒的代码端到了你面前。
平台这次一天内就给九成五的钱包退了款,大额还得先签协议。换成一家没钱赔的小站,损失就只能自己扛。
能做的只有缩小暴露面:常登录的网页账户里只放短期要用的钱,用完退出登录,大额放单独的钱包,和日常交易账户分开。
#避坑提醒
#避坑提醒 #crypto #meme #BSC