Polymarket заявил, что полностью возместит убытки пользователям после того, как скомпрометированный скрипт стороннего поставщика вывел около $3 млн с менее чем 15 аккаунтов.
Ключевые моменты:
- Polymarket сообщил, что компрометация стороннего вендора внедрила вредоносный код во фронтенд платформы.
- Исследователи безопасности зафиксировали около $3 млн потерь у менее чем 15 пострадавших аккаунтов.
- Взлом последовал за отдельным инцидентом с админ‑кошельком, который не затронул средства пользователей.
Взлом Polymarket
Polymarket подтвердил в пятницу, что злоумышленники использовали скомпрометированного стороннего вендора, чтобы разместить вредоносный код во фронтенде, подвергнув некоторых пользователей атаке на опустошение кошельков.
О взломе первым сообщил ончейн‑исследователь безопасности Specter, который заявил, что в результате фишинговой кампании были выведены средства более чем из 11 кошельков, хранивших PUSD (PUSD), стейблкоин Polymarket.
Specter оценил потери в $2,94 млн, тогда как PeckShield позже подтвердил схожую цифру и сообщил, что атакующий перевел средства из Polygon (POL) в Ethereum (ETH), а затем конвертировал их в 1 893 ETH.
Платформа признала взлом через аккаунт Polymarket Traders в X, заявив, что уязвимая зависимость была удалена, а с пострадавшими пользователями свяжутся напрямую.
«Сегодня утром мы обнаружили, что сторонний вендор был скомпрометирован и внедрил вредоносный скрипт во фронтенд для части пользователей. Мы локализовали проблему и удалили уязвимую зависимость», — написали они. «Мы связываемся с пострадавшими пользователями и полностью возвращаем им средства».
Также читайте: Сооснователь Anthropic заявил, что первый реальный шок на рынке труда от ИИ ощутили выпускники
Последствия для безопасности
Уильям ЛиГейт (William LeGate), тесно сотрудничающий с платформой, подтвердил, что проблема решена, и заявил, что пострадавшие пользователи получат полную компенсацию.
GoPlus Security охарактеризовала инцидент как атаку на цепочку поставок, отметив, что было затронуто около 15 аккаунтов, а общий ущерб составил $3 млн.
Bubblemaps пришла к тем же общим выводам и похвалила реакцию Polymarket после того, как средства были выведены и эксплойт локализован.
Последний взлом усиливает давление, поскольку последовал за другим инцидентом в прошлом месяце, когда админ‑кошелек, использовавшийся для пополнения вознаграждений сотрудникам, потерял около $700 000, предположительно из‑за компрометации приватного ключа.
Крипто‑детектив ZachXBT изначально оценил те потери примерно в $520 000, но позже Bubblemaps указала более высокую сумму, отследив средства по нескольким адресам.
Разработчик Джош Стивенс (Josh Stevens) сообщил, что 6‑летний приватный ключ оказался раскрыт из‑за внутренней конфигурации, после чего компания провела ротацию учетных данных и перешла на сервисы управления ключами.
Оба взлома затронули системы вокруг предсказательных рынков, а не сами рынки, но они произошли в непростой период для компании. Wall Street Journal недавно сообщил, что Polymarket платил авторам студенческого возраста по $2 000–3 000 в месяц за публикацию постановочных видео о ставках, а другой трейдер в этом месяце заявил, что изменения правил, связанные с рынком продажи биткоина Strategy, обошлись ему в $500 000.
Читайте далее: Хакеры BlueNoroff из Северной Кореи использовали сгенерированные ИИ фальшивые звонки в Zoom, чтобы взломать 100 крипто‑топ‑менеджеров