Luka w procesie zakładania konta w Polymarket miała pod koniec lipca umożliwić atakującym przejęcie niemal 500 istniejących kont użytkowników w USA, wraz z powiązanymi metodami płatności.
Najważniejsze informacje:
- Błąd rejestracji miał pozwalać każdemu dysponującemu danymi osobowymi tradera wejść do jego aktywnego konta bez loginu i hasła
- Ujawnione zostały powiązane rachunki bankowe i karty debetowe, a część użytkowników twierdzi, że straciła tysiące dolarów przy milczącej obsłudze klienta
- Incydent nastąpił po lutowej fali oszustw, gdy próbowano przepchnąć co najmniej 10 mln dolarów z wykorzystaniem skradzionych kart debetowych
Luka w Polymarket ujawniła konta traderów
Jak wynika z sobotniej publikacji prasowej zidentyfikowano, każdy, kto założył nowe konto przy użyciu danych osobowych istniejącego tradera — na przykład skradzionego numeru Social Security — miał być automatycznie przenoszony do rzeczywistego profilu tego użytkownika.
Intruz nie potrzebował ani nazwy użytkownika, ani hasła, ani przejętego telefonu, a dostępne stawały się również przypisane do konta rachunki bankowe i karty debetowe.
Osoba znająca sprawę oceniła łączną skalę strat jako niewielką, nie podając jednak kwoty. Rzeczniczka spółki przekazała z kolei, że Polymarket zwróci środki utracone w incydencie. Użytkownicy przedstawiają jednak odmienny obraz. Mówią o stratach liczonych w tysiącach dolarów i tygodniach bez odpowiedzi ze strony wsparcia technicznego.
Jeden z traderów twierdził, że w lipcu po zalogowaniu zobaczył, iż jego pozycje zostały sprzedane, a zysk w wysokości 5 783,51 dol. trafił na kartę debetową, która nie należała do niego. Jak relacjonował, spółka uznała na jego konto zaledwie 25 dol., nie wyjaśniła sytuacji, a później zablokowała rachunek po dwukrotnym przesłaniu przez niego danych weryfikacyjnych.
Zobacz także: Prognozy dla Nvidii na 2030 rok pokazują rozjazd od 727 do 28 560 dolarów
Ostrzeżenie Checkout.com poprzedziło reakcję Coplana
Luka w koncie pojawiła się po szerszej fali oszustw w lutym, gdy przestępcy podpinając skradzione karty debetowe do tysięcy nowych kont w USA próbowali wyprowadzić co najmniej 10 mln dolarów. W pewnym momencie procesor płatności Checkout.com odrzucał ponad 80 proc. wpłat jako fałszywe, podczas gdy normą w branży jest około 1 proc. Do maja wskaźniki oszustw wróciły do typowych poziomów po tym, jak spółka ograniczyła liczbę kart debetowych przypadających na jedno konto i zatrudniła firmę antyfraudową Riskified.
Zespół ds. zgodności zgłosił problem prezesowi Shayne’owi Coplanowi, który miał odpowiedzieć, że firma powinna dalej rosnąć, a jeśli regulatorzy coś wykryją — zapłacić karę. Tak zapamiętali to obecni i byli pracownicy. Według osób cytowanych w materiale odpowiedź zaskoczyła zespół.
Bezpieczeństwo Polymarket pod lupą
Analitycy zastanawiają się , czy dynamika wzrostu nie wyprzedziła standardów zgodności w spółce, która zabiega o finansowanie przy wycenie około 21 mld dolarów. Zwracają też uwagę, że kwota 10 mln dolarów dotyczy próby kradzieży, a nie potwierdzonych strat. Polymarket twierdzi, że wzmocnił swoje systemy, a wewnętrzny audyt kancelarii Sullivan & Cromwell wykazał zgodność spółki z regulacjami.
Lipcowa luka zakończyła trudny okres dla platformy, która nie opublikowała publicznego raportu po incydencie związanym z rejestracją. W czerwcu firma potwierdziła, że przejęty dostawca wstrzyknął złośliwy skrypt do jej strony, a napastnicy wyprowadzili około 3,1 mln dolarów z 11 portfeli użytkowników, zanim obiecano pełne zwroty.
Czytaj dalej: Google Gemini włamało się do trzech firm w pierwszych znanych autonomicznych incydentach
