🚨 За один час Polymarket потеряла $2.73 млн со счетов 737 пользователей. Злоумышленники использовали доверенное ПО для веб-сайтов, а не уязвимость в смарт-контракте.
29 октября злоумышленники использовали вредоносный JavaScript, распространявшийся через DebugBear — сторонний сервис мониторинга веб-сайтов, интегрированный в Polymarket.
Исследователи в области безопасности обнаружили вредоносный JavaScript, распространявшийся через инфраструктуру DebugBear. Он был предназначен для выявления пользователей Polymarket, вошедших в систему, проверки их балансов и позиций, а также использования существующих торговых функций платформы.
Вот как развивались события:
🕔 17:10 UTC: За три минуты были опустошены первые пять аккаунтов. С одного из них похитили около $75K.
🕔 17:25: После паузы в 13 минут началась основная волна автоматизированных выводов — до 40 выводов в минуту.
🕔 17:45: Трейдер Car публично предупредил пользователей. К этому моменту уже произошло около 48% от итоговых потерь в $2.73M.
🕕 18:05: На странице статуса Polymarket был зафиксирован режим только отмены ордеров и приостановка работы релейера.
🕕 18:10: Bitquery зафиксировала последний вывод в рамках основной волны атаки. Примерно через 30 секунд релейер перестал подавать признаки активности.
🕕 18:37: Polymarket объявила, что выявила и устранила проблему.
🕕 18:52: Релейер возобновил работу. В 19:11 был зафиксирован ещё один вывод на $10.99.
Пользователи Polymarket хранят средства в смарт-кошельках для депозитов в сети Polygon. Их долларовые балансы хранятся в pUSD, обеспеченном USDC в соотношении 1:1.
Злоумышленники использовали стандартный путь проведения транзакций: разрешения на операции от кошельков отправлялись через собственный релейер Polymarket, который выполнял выводы. Средства конвертировались из pUSD в USDC, обменивались на POL и переводились на кошельки под контролем злоумышленников.
По данным Bitquery, было совершено 985 выводов с участием 737 аккаунтов на общую сумму около $2.73M.
Ключевая деталь: для каждого отслеженного вывода было получено действительное разрешение от кошелька. Уязвимостей в смарт-контрактах не обнаружено. Блокчейн подтверждает наличие разрешений, но не позволяет независимо установить, кто их создал.
Polymarket временно приостановила торговлю, восстановила работу платформы и пообещала возместить убытки пострадавшим пользователям.
Какой вывод? Защиты приватных ключей недостаточно, если скомпрометированное программное обеспечение третьих сторон может злоупотребить авторизованной средой для проведения транзакций.
Не является финансовой рекомендацией.
$POL
#Криптобезопасность #Polygon #Web3