Polymarket ha dichiarato che rimborserà completamente gli utenti dopo che uno script di un fornitore compromesso ha prosciugato circa 3 milioni di dollari da meno di 15 account.
Punti chiave:
- Polymarket ha affermato che il compromesso di un fornitore terzo ha iniettato codice maligno nel suo frontend.
- I ricercatori di sicurezza hanno tracciato circa 3 milioni di dollari di perdite su meno di 15 account colpiti.
- La violazione segue un distinto incidente su un wallet admin che non ha coinvolto i fondi degli utenti.
L’hack di Polymarket
Polymarket ha confermato venerdì che gli aggressori hanno utilizzato un fornitore terzo compromesso per inserire codice maligno nel suo frontend, esponendo alcuni utenti a un attacco di svuotamento dei wallet.
La violazione è stata segnalata per la prima volta dal ricercatore di sicurezza on-chain Specter, che ha affermato che una apparente campagna di phishing aveva prosciugato fondi da oltre 11 wallet contenenti PUSD (PUSD), la stablecoin di Polymarket.
Specter ha stimato le perdite in 2,94 milioni di dollari, mentre PeckShield in seguito ha confermato una cifra simile e ha affermato che l’attaccante ha trasferito fondi da Polygon (POL) a Ethereum (ETH), convertendoli poi in 1.893 ETH.
La piattaforma ha riconosciuto la violazione tramite il suo account Polymarket Traders su X, affermando che la dipendenza compromessa era stata rimossa e che gli utenti colpiti sarebbero stati contattati direttamente.
«Questa mattina abbiamo scoperto che un fornitore di terze parti era stato compromesso, iniettando uno script maligno nel nostro frontend per alcuni utenti. Abbiamo contenuto il problema e rimosso la dipendenza interessata», ha scritto. «Stiamo contattando gli utenti colpiti e li rimborseremo integralmente.»
Leggi anche: Il cofondatore di Anthropic afferma che il primo vero shock occupazionale dell’IA sta colpendo i neolaureati
Conseguenze sulla sicurezza
William LeGate, che lavora a stretto contatto con la piattaforma, ha ribadito che il problema era stato risolto e ha affermato che gli utenti colpiti riceveranno un risarcimento completo.
GoPlus Security ha descritto l’incidente come un attacco alla catena di fornitura, affermando che circa 15 account sono stati colpiti e che le perdite ammontano a 3 milioni di dollari.
Bubblemaps è giunta alla stessa ampia conclusione e ha lodato la risposta di Polymarket dopo che i fondi sono stati prosciugati e l’exploit è stato contenuto.
L’ultima violazione aumenta la pressione perché segue un altro incidente avvenuto il mese scorso, quando un wallet admin utilizzato per ricaricare i premi ai dipendenti ha perso circa 700.000 dollari, probabilmente a causa del compromesso di una chiave privata.
Il detective on-chain ZachXBT ha inizialmente stimato quella perdita in circa 520.000 dollari, prima che Bubblemaps citasse in seguito la cifra più alta dopo aver tracciato i fondi su diversi indirizzi.
Lo sviluppatore Josh Stevens ha dichiarato che una chiave privata vecchia di sei anni era stata esposta tramite una configurazione interna, dopo di che l’azienda ha ruotato le credenziali ed è passata a servizi di gestione delle chiavi.
Entrambe le violazioni hanno colpito i sistemi intorno ai mercati di previsione piuttosto che i mercati stessi, ma sono arrivate in un periodo difficile per l’azienda. Il Wall Street Journal ha recentemente riferito che Polymarket ha pagato a creator in età universitaria da 2.000 a 3.000 dollari al mese per pubblicare video di scommesse inscenate, e un altro trader ha affermato questo mese che modifiche alle regole legate a un mercato di vendita di Bitcoin Strategy gli sono costate 500.000 dollari.
Da leggere dopo: Gli hacker BlueNoroff della Corea del Nord hanno usato finte call Zoom generate dall’IA per violare 100 dirigenti crypto