بوليماركت قالت إنها ستسدد كامل المبالغ للمستخدمين بعد أن استنزف سكربت مزود مخترق نحو 3 ملايين دولار من أقل من 15 حساباً.
النقاط الرئيسية:
- بوليماركت قالت إن اختراق طرف ثالث من المزوّدين أدى إلى حقن كود خبيث في واجهتها الأمامية.
- باحثو الأمن تتبعوا خسائر بحوالي 3 ملايين دولار عبر أقل من 15 حساباً متأثراً.
- يأتي هذا الخرق بعد حادثة منفصلة لمحفظة إدارية لم تؤثر على أموال المستخدمين.
اختراق بوليماركت
أكدت بوليماركت ذلك يوم الجمعة، موضحة أن المهاجمين استخدموا مزود خدمة تابعاً لطرف ثالث جرى اختراقه لوضع كود خبيث في الواجهة الأمامية، مما عرض بعض المستخدمين لهجوم يستنزف المحافظ.
جرى رصد الخرق لأول مرة من قبل باحث الأمن على السلسلة Specter، الذي قال إن حملة تصيّد احتيالي على ما يبدو استنزفت الأموال من أكثر من 11 محفظة تحتفظ بعملة PUSD (PUSD)، وهي العملة المستقرة الخاصة ببوليماركت.
قدّر Specter الخسائر بـ 2.94 مليون دولار، بينما أكدت PeckShield لاحقاً رقماً مشابهاً وقالت إن المهاجم قام بجسر الأموال من Polygon (POL) إلى Ethereum (ETH)، ثم حوّلها إلى 1,893 إيثيريوم (ETH).
أقرت المنصة بالخرق عبر حساب Polymarket Traders على منصة X، موضحة أنه تمت إزالة الاعتماد المتأثر وأنه سيتم التواصل مباشرةً مع المستخدمين المتضررين.
جاء في بيانها: "اكتشفنا هذا الصباح أن مزوداً خارجياً من طرف ثالث قد تم اختراقه، ما أدى إلى حقن سكربت خبيث في واجهتنا الأمامية لبعض المستخدمين. لقد قمنا باحتوائه وإزالة الاعتماد المتأثر". وأضافت: "نقوم بالتواصل مع المستخدمين المتأثرين وسنعوضهم بالكامل".
اقرأ أيضاً: المؤسس المشارك لـ Anthropic يقول إن أول صدمة حقيقية للوظائف من الذكاء الاصطناعي تضرب الخريجين
التداعيات الأمنية
ويليام ليغيت (William LeGate)، الذي يعمل بشكل وثيق مع المنصة، كرر أن المشكلة تم حلها وقال إن المستخدمين المتضررين سيتلقون تعويضاً كاملاً.
وصفت GoPlus Security الحادثة بأنها هجوم على سلسلة التوريد، مشيرةً إلى أن حوالي 15 حساباً تأثروا وأن إجمالي الخسائر بلغ 3 ملايين دولار.
توصلت Bubblemaps إلى الاستنتاج العام ذاته وأشادت باستجابة بوليماركت بعد استنزاف الأموال واحتواء ثغرة الاستغلال.
يزيد هذا الخرق الأخير من الضغوط، لأنه يأتي بعد حادثة أخرى الشهر الماضي حين فقدت محفظة إدارية تُستخدم لشحن مكافآت الموظفين حوالي 700 ألف دولار، يُرجح أن السبب كان اختراق مفتاح خاص.
قدّر المحقق في قضايا الكريبتو ZachXBT تلك الخسارة أولاً بنحو 520 ألف دولار، قبل أن تشير Bubblemaps لاحقاً إلى الرقم الأعلى بعد تتبع الأموال عبر عدة عناوين.
قال المطور Josh Stevens إن مفتاحاً خاصاً عمره 6 سنوات قد كُشف عبر إعدادات داخلية، وبعد ذلك قامت الشركة بتدوير بيانات الاعتماد والانتقال إلى خدمات إدارة المفاتيح.
أثرت الحالتان على الأنظمة المحيطة بأسواق التنبؤ أكثر من تأثيرهما على الأسواق نفسها، لكنهما وقعتا في فترة صعبة بالنسبة للشركة. فقد ذكرت وول ستريت جورنال مؤخراً أن بوليماركت دفعت لمنشئي محتوى من طلاب الجامعات ما بين 2,000 و3,000 دولار شهرياً لنشر مقاطع فيديو تمثيلية عن المراهنات، كما قال متداول آخر هذا الشهر إن تغييرات في القواعد مرتبطة بسوق بيع بيتكوين ضمن فئة Strategy كلفته 500 ألف دولار.
اقرأ التالي: هاكرو BlueNoroff الكوريون الشماليون استخدموا مكالمات زووم مزيفة مولدة بالذكاء الاصطناعي لاختراق 100 مسؤول كريبتو