Сбой в механизме регистрации Polymarket, как сообщается, позволил злоумышленникам, располагающим украденными персональными данными, в конце июля захватить почти 500 уже существующих аккаунтов пользователей в США вместе с привязанными платёжными инструментами.
Ключевые моменты:
- Ошибка при регистрации, по сообщениям, позволяла получить доступ к живому аккаунту трейдера, имея лишь его персональные данные, без логина и пароля
- Были скомпрометированы привязанные банковские счета и дебетовые карты, а некоторые пользователи заявили о потерях на тысячи долларов при молчании поддержки
- Инцидент произошёл после февральской волны мошенничества, когда злоумышленники пытались провести операции на сумму не менее $10 млн с использованием украденных дебетовых карт
Сбой при регистрации Polymarket открыл доступ к аккаунтам трейдеров
Любой, кто открывал новый аккаунт, используя персональные данные действующего клиента — например, похищенный номер Social Security, — по данным газетного расследования, опубликованного в субботу, оказывался сразу внутри его активного профиля found.
Для этого злоумышленникам не требовались ни имя пользователя, ни пароль, ни доступ к скомпрометированному телефону. При этом становились доступны и банковские счета, и дебетовые карты, привязанные к таким профилям.
Источник, знакомый с ситуацией, назвал общий объём похищенного небольшим, но сумму не раскрыл. Представитель компании заявила, что Polymarket компенсирует деньги, потерянные в результате инцидента. Однако сами пользователи описывали совсем другую картину: потери на тысячи долларов и недели без ответа со стороны службы поддержки.
Один из трейдеров рассказал, что в июле зашёл в систему и обнаружил, что его позиции были проданы, а прибыль в размере $5 783,51 была выведена на чужую дебетовую карту. По его словам, компания зачислила на счёт лишь $25, не предоставила объяснений, а затем заблокировала аккаунт после того, как он дважды отправлял данные для верификации.
Также читайте: Прогнозы по Nvidia на 2030 год показывают разброс от $727 до $28 560
Предупреждение Checkout.com предшествовало реакции Coplan
Уязвимость в аккаунтах последовала за более масштабной волной мошенничества в феврале, когда злоумышленники привязывали украденные дебетовые карты к тысячам новых аккаунтов в США и пытались провести операции минимум на $10 млн. Платёжный процессор Checkout.com в какой-то момент отклонял более 80% депозитов как мошеннические — тогда как в отрасли нормой считается около 1%. К маю уровень мошенничества вернулся к обычным значениям после того, как компания ограничила число дебетовых карт на один аккаунт и наняла антифрод-подрядчика Riskified.
Сотрудники комплаенс-подразделения вынесли проблему на уровень CEO Shayne Coplan, который, по воспоминаниям действующих и бывших сотрудников, предложил продолжать рост и заплатить штраф, если регуляторы когда-нибудь обнаружат нарушение. По словам людей, знакомых с материалом, такой ответ удивил команду.
Безопасность Polymarket оказалась под пристальным вниманием
Аналитики questioned , не опережал ли рост компании требования комплаенса на фоне поиска финансирования при оценке примерно в $21 млрд. Они также отмечают, что сумма в $10 млн отражает попытку хищения, а не подтверждённые потери. Polymarket утверждает, что усилил защиту, а внутреннее расследование юридической фирмы Sullivan & Cromwell пришло к выводу, что компания соблюдала нормативные требования.
Июльская уязвимость стала кульминацией непростого периода для платформы, которая так и не опубликовала публичный разбор инцидента со сбоем регистрации. В июне компания confirmed, что скомпрометированный подрядчик внедрил вредоносный скрипт на её сайт, а злоумышленники drained около $3,1 млн из 11 пользовательских кошельков до того, как были обещаны полные компенсации.
Далее читайте: Google Gemini взломал три компании в ходе первых известных автономных атак
