Een fout in het aanmeldproces bij Polymarket heeft aanvallers volgens berichten eind juli toegang gegeven tot bijna 500 bestaande Amerikaanse accounts, inclusief gekoppelde betaalmethoden.
Kernpunten:
- Een registratiefout zou ervoor hebben gezorgd dat iedereen met iemands persoonlijke gegevens direct in diens actieve account kon komen, zonder gebruikersnaam of wachtwoord
- Gekoppelde bankrekeningen en debitcards waren zichtbaar, en sommige gebruikers zeggen duizenden dollars te hebben verloren terwijl de support stil bleef
- De zaak volgt op een fraudegolf in februari, waarin criminelen met gestolen debitcards minstens $10 miljoen probeerden weg te sluizen
Inlogfout bij Polymarket legde traders bloot
Wie een nieuw account opende met persoonlijke gegevens van een bestaande trader, zoals een gestolen Social Security-nummer, kwam volgens een zaterdag gepubliceerde krantenanalyse rechtstreeks terecht in het liveprofiel van die gebruiker, zo bleek uit een onderzoek.
De indringers hadden geen gebruikersnaam, geen wachtwoord en zelfs geen gehackte telefoon nodig. Ook de bankrekeningen en debitcards die aan die profielen waren gekoppeld, waren vervolgens toegankelijk.
Een betrokkene omschreef het totaalbedrag als beperkt, maar gaf geen cijfer. Een woordvoerder van het bedrijf zei dat Polymarket het verloren geld in deze zaak zou vergoeden. Gebruikers schetsten echter een ander beeld. Zij spraken over verliezen van duizenden dollars en wekenlang onbeantwoorde berichten aan de klantenservice.
Een trader vertelde dat hij in juli inlogde en ontdekte dat zijn posities waren verkocht, terwijl $5.783,51 aan winst was overgemaakt naar een debitcard die niet van hem was. Volgens hem werd zijn rekening vervolgens met $25 gecrediteerd, zonder toelichting, en werd het account later geblokkeerd nadat hij tweemaal verificatiegegevens had ingediend.
Lees ook: Nvidia-verwachtingen voor 2030 laten een bandbreedte zien van $727 tot $28.560
Waarschuwing van Checkout.com ging reactie van Coplan vooraf
De fout in het accountbeheer volgde op een bredere fraudegolf in februari, toen criminelen gestolen debitcards koppelden aan duizenden nieuwe Amerikaanse accounts en probeerden minstens $10 miljoen weg te sluizen. Betaalverwerker Checkout.com weigerde op een gegeven moment meer dan 80% van de stortingen wegens fraude, terwijl in de sector normaal gesproken circa 1% van de stortingen wordt afgekeurd. Tegen mei waren de fraudecijfers weer genormaliseerd, nadat het bedrijf het aantal debitcards per account had beperkt en antifraudepartner Riskified had ingeschakeld.
Medewerkers van compliance legden het probleem voor aan CEO Shayne Coplan, die volgens huidige en voormalige medewerkers aangaf dat groei voorrang moest krijgen en dat het bedrijf desnoods een boete kon betalen als toezichthouders er ooit achter zouden komen. Volgens de bronvermeldingen in het onderzoek reageerde het team verbaasd op dat antwoord.
Beveiligingsreputatie van Polymarket onder druk
Analisten hebben vraagtekens gezet bij de vraag of de groei bij het bedrijf de naleving van regels heeft ingehaald. Polymarket zoekt momenteel financiering tegen een waardering van circa $21 miljard. Zij wijzen er bovendien op dat het bedrag van $10 miljoen betrekking heeft op een poging tot diefstal, niet op bevestigde verliezen. Polymarket zegt zijn systemen te hebben aangescherpt, en een intern onderzoek van advocatenkantoor Sullivan & Cromwell concludeerde dat het bedrijf aan de regelgeving had voldaan.
De fout in juli vormde het slotakkoord van een lastige periode voor het platform, dat nog geen openbaar evaluatierapport over de inlogfout heeft gepubliceerd. In juni bevestigde het bedrijf dat een gecompromitteerde toeleverancier een malafide script op de website had geplaatst, waarna aanvallers ongeveer $3,1 miljoen wegsloegen uit 11 gebruikerswallets voordat compensatie werd toegezegd.
Volgende artikel: Google Gemini hackt drie bedrijven bij eerste bekende autonome inbraken
