Una falla nel processo di registrazione di Polymarket avrebbe consentito ad alcuni attaccanti, in possesso di dati personali rubati, di prendere il controllo di quasi 500 account statunitensi già attivi alla fine di luglio, insieme ai metodi di pagamento collegati.
Punti chiave:
- Un bug nella registrazione avrebbe permesso a chiunque disponesse dei dati personali di un trader di entrare nel suo account attivo senza username né password
- Conti bancari e carte di debito collegati sarebbero stati esposti; alcuni utenti riferiscono perdite per migliaia di dollari e assistenza in silenzio
- L’episodio segue una ondata di frodi a febbraio, quando dei malintenzionati hanno tentato di spostare almeno 10 milioni di dollari tramite carte di debito rubate
Il bug di registrazione ha esposto i trader di Polymarket
Chiunque abbia aperto un nuovo account utilizzando i dati personali di un trader già esistente, come un numero di Social Security rubato, sarebbe stato indirizzato direttamente sul profilo operativo di quel trader, secondo un’inchiesta pubblicata sabato da un quotidiano ha rilevato.
Gli intrusi non avevano bisogno di username, password né di un telefono compromesso, e anche i conti bancari e le carte di debito associati a quei profili sarebbero diventati accessibili.
Una persona a conoscenza della vicenda ha definito modesta la somma complessiva sottratta, senza fornire cifre, mentre una portavoce della società ha affermato che Polymarket avrebbe coperto il denaro perso nell’incidente. Gli utenti, però, raccontano un’altra storia: parlano di perdite per migliaia di dollari e di settimane di messaggi all’assistenza rimasti senza risposta.
Un trader ha raccontato di essersi collegato a luglio e di aver trovato le sue posizioni vendute, con 5.783,51 dollari di profitti trasferiti su una carta di debito che non gli apparteneva. Ha detto che la società ha accreditato 25 dollari sul suo conto, senza fornire spiegazioni, e che in seguito l’account è stato bloccato dopo che aveva inviato per due volte i documenti di verifica.
Leggi anche: Le previsioni Nvidia 2030 indicano uno scarto da 727 a 28.560 dollari
L’avvertimento di Checkout.com ha preceduto la risposta di Coplan
La falla sugli account è arrivata dopo una più ampia ondata di frodi a febbraio, quando dei truffatori hanno collegato carte di debito rubate a migliaia di nuovi account statunitensi e hanno tentato di spostare almeno 10 milioni di dollari. A un certo punto, il processore dei pagamenti Checkout.com ha respinto oltre l’80% dei depositi perché fraudolenti, contro una media di settore di circa l’1%. I tassi di frode sono tornati nella norma a maggio, dopo che la società ha limitato il numero di carte di debito per account e ha incaricato il fornitore antifrode Riskified.
Il personale addetto alla compliance ha portato il problema all’attenzione dell’amministratore delegato Shayne Coplan, che avrebbe risposto di continuare a crescere e di pagare eventualmente una multa se le autorità se ne fossero accorte, secondo quanto ricordato da dipendenti attuali ed ex dipendenti. La replica ha sorpreso il team, stando ai resoconti delle persone consultate per l’inchiesta.
Sotto esame il track record di sicurezza di Polymarket
Alcuni analisti hanno messo in dubbio che la crescita abbia superato i controlli di compliance in un’azienda che punta ora a raccogliere fondi a una valutazione di circa 21 miliardi di dollari. Va inoltre sottolineato che la cifra di 10 milioni di dollari riguarda un tentativo di furto, non perdite effettivamente confermate. Polymarket afferma di aver rafforzato i propri sistemi e una revisione interna dello studio legale Sullivan & Cromwell ha concluso che la società era in regola con le norme.
La falla di luglio ha chiuso una fase complicata per la piattaforma, che non ha pubblicato alcun post-mortem ufficiale sul bug di registrazione. A giugno la società ha confermato che un fornitore compromesso aveva inserito uno script malevolo nel sito, e gli attaccanti avevano drenato circa 3,1 milioni di dollari da 11 wallet di utenti, prima della promessa di rimborsi integrali.
Da leggere anche: Google Gemini buca 3 aziende nei primi attacchi autonomi noti
