ช่องโหว่ในขั้นตอนสมัครสมาชิกของ Polymarket ถูกอ้างว่าเปิดทางให้ผู้โจมตีที่มีข้อมูลส่วนบุคคลที่ขโมยมาสามารถยึดบัญชีผู้ใช้ในสหรัฐฯ ที่มีอยู่แล้วเกือบ 500 บัญชีได้ในช่วงปลายเดือนกรกฎาคม รวมถึงวิธีชำระเงินที่ผูกไว้กับบัญชีเหล่านั้นด้วย
ประเด็นสำคัญ:
- บั๊กในขั้นตอนลงทะเบียนถูกอ้างว่าเปิดช่องให้ผู้ที่มีข้อมูลส่วนตัวของเทรดเดอร์สามารถเข้าไปยังบัญชีจริงได้โดยไม่ต้องใช้ชื่อผู้ใช้หรือรหัสผ่าน
- บัญชีธนาคารและบัตรเดบิตที่เชื่อมไว้ถูกเปิดเผย ขณะที่ผู้ใช้บางรายระบุว่าสูญเงินหลายพันดอลลาร์และติดต่อฝ่ายซัพพอร์ตไม่ได้
- เหตุการณ์นี้เกิดขึ้นหลังคลื่นการฉ้อโกงเมื่อเดือนกุมภาพันธ์ ซึ่งมิจฉาชีพพยายามเคลื่อนย้ายเงินอย่างน้อย 10 ล้านดอลลาร์ผ่านบัตรเดบิตที่ขโมยมา
บั๊กสมัครสมาชิกของ Polymarket เปิดช่องให้เทรดเดอร์ถูกบุกรุก
รายงานสอบสวนของหนังสือพิมพ์ที่เผยแพร่เมื่อวันเสาร์ระบุว่า ผู้ที่สร้างบัญชีใหม่โดยใช้ข้อมูลส่วนตัวของเทรดเดอร์เดิม เช่น หมายเลขประกันสังคมที่ถูกขโมยมา สามารถถูกพาเข้าสู่โปรไฟล์จริงของเทรดเดอร์คนนั้นได้ทันที พบว่า
ผู้บุกรุกไม่จำเป็นต้องมีชื่อผู้ใช้ ไม่ต้องมีรหัสผ่าน และไม่ต้องยึดโทรศัพท์ของเหยื่อ ขณะที่บัญชีธนาคารและบัตรเดบิตที่ผูกอยู่กับโปรไฟล์เหล่านั้นก็ถูกเข้าถึงได้เช่นกัน
บุคคลที่ใกล้ชิดกับเรื่องดังกล่าวระบุว่า มูลค่าความเสียหายรวมไม่สูงนัก แต่ไม่ได้เปิดเผยตัวเลข ขณะที่โฆษกของบริษัทกล่าวว่า Polymarket จะชดเชยเงินที่สูญเสียไปจากเหตุการณ์นี้ อย่างไรก็ดี ผู้ใช้งานเล่าอีกมุมหนึ่งว่า พวกเขาสูญเงินเป็นจำนวนหลายพันดอลลาร์ และส่งข้อความหาฝ่ายซัพพอร์ตเป็นเวลาหลายสัปดาห์โดยไม่ได้รับคำตอบ
เทรดเดอร์รายหนึ่งกล่าวว่า เมื่อเข้าใช้งานในเดือนกรกฎาคม เขาพบว่าตำแหน่งลงทุนของเขาถูกขายออกไป และกำไร 5,783.51 ดอลลาร์ถูกโอนไปยังบัตรเดบิตที่ไม่ใช่ของเขาเอง เขาระบุว่าบริษัทเติมเงินให้ในบัญชีเพียง 25 ดอลลาร์ โดยไม่ชี้แจงสาเหตุ และต่อมาได้ระงับบัญชีหลังจากเขาส่งข้อมูลยืนยันตัวตนไปสองครั้ง
อ่านเพิ่มเติม: คาดการณ์ Nvidia ปี 2030 ชี้กรอบราคาหุ้นต่างกันตั้งแต่ 727 ถึง 28,560 ดอลลาร์
คำเตือนจาก Checkout.com มาก่อนปฏิกิริยาของ Coplan
ช่องโหว่ด้านบัญชีเกิดขึ้นต่อจากคลื่นการฉ้อโกงวงกว้างในเดือนกุมภาพันธ์ เมื่อมิจฉาชีพนำบัตรเดบิตที่ขโมยมาผูกกับบัญชีผู้ใช้ใหม่จำนวนหลายพันบัญชีในสหรัฐฯ และพยายามเคลื่อนย้ายเงินอย่างน้อย 10 ล้านดอลลาร์ โดยผู้ประมวลผลการชำระเงิน Checkout.com เคยปฏิเสธธุรกรรมมากกว่า 80% ในบางช่วง เนื่องจากเข้าข่ายฉ้อโกง เทียบกับค่าเฉลี่ยอุตสาหกรรมที่ราว 1%
อัตราการฉ้อโกงกลับสู่ระดับปกติในเดือนพฤษภาคม หลังบริษัทจำกัดจำนวนบัตรเดบิตต่อหนึ่งบัญชี และจ้าง Riskified ซึ่งเป็นผู้รับจ้างด้านป้องกันการทุจริตเข้ามาช่วยเสริมระบบ
ทีมงานฝ่ายคอมพลายแอนซ์ได้นำปัญหานี้ไปแจ้งต่อซีอีโอ Shayne Coplan โดยอดีตและปัจจุบันพนักงานเล่าว่า เขาตอบกลับให้เดินหน้าขยายธุรกิจต่อไป และหากหน่วยงานกำกับพบภายหลังค่อยจ่ายค่าปรับ ทีมงานระบุว่าคำตอบดังกล่าวสร้างความประหลาดใจไม่น้อย ตามข้อมูลจากผู้ที่ถูกสอบถามประกอบรายงาน
ประวัติด้านความปลอดภัยของ Polymarket ถูกจับตา
นักวิเคราะห์หลายรายได้ ตั้งคำถาม ว่าการเติบโตของบริษัทอาจวิ่งนำการปฏิบัติตามกฎระเบียบหรือไม่ ขณะที่บริษัทกำลังมองหาการระดมทุนที่มูลค่าราว 2.1 หมื่นล้านดอลลาร์ ทั้งยังระบุด้วยว่า ตัวเลข 10 ล้านดอลลาร์เป็นความพยายามในการขโมยเงิน ไม่ใช่ความเสียหายที่ยืนยันแล้วทั้งหมด
Polymarket ระบุว่าได้ยกระดับระบบความปลอดภัยแล้ว และผลการตรวจสอบภายในโดยสำนักงานกฎหมาย Sullivan & Cromwell พบว่าบริษัทปฏิบัติตามกฎระเบียบที่เกี่ยวข้อง
ช่องโหว่ในเดือนกรกฎาคมยิ่งซ้ำเติมช่วงเวลาที่ไม่สู้ดีของแพลตฟอร์ม ซึ่งยังไม่ได้เผยแพร่รายงานสรุปเหตุการณ์อย่างเป็นทางการเกี่ยวกับบั๊กสมัครสมาชิกนี้ ในเดือนมิถุนายน บริษัท ยืนยัน ว่ามีผู้ให้บริการภายนอกที่ถูกเจาะระบบแทรกสคริปต์อันตรายเข้าไปในเว็บไซต์ และผู้โจมตีได้ ดูดเงิน ราว 3.1 ล้านดอลลาร์จากกระเป๋าผู้ใช้ 11 ราย ก่อนที่บริษัทจะให้คำมั่นชดเชยเงินคืนเต็มจำนวน
อ่านต่อ: Google Gemini ถูกใช้แฮก 3 บริษัทในการเจาะระบบอัตโนมัติที่พบครั้งแรก
