Polymarket’teki bir kayıt açığının, çalınmış kişisel verileri kullanan saldırganların Temmuz sonunda yaklaşık 500 mevcut ABD hesabını ele geçirmesine ve bağlı ödeme yöntemlerine erişmesine yol açtığı öne sürüldü.
Öne çıkanlar:
- Kayıt açığının, bir yatırımcının kişisel bilgilerini ele geçiren herkesin o kişinin aktif hesabına kullanıcı adı ya da şifre olmadan girmesine izin verdiği iddia edildi
- Bağlı banka hesapları ve banka kartları da erişime açıldı; bazı kullanıcılar binlerce dolar kaybettiklerini ve destekten yanıt alamadıklarını söyledi
- Olay, Şubat ayında çalıntı banka kartlarıyla en az 10 milyon dolar taşınmaya çalışılan bir dolandırıcılık dalgasının ardından geldi
Polymarket kayıt açığı yatırımcıları savunmasız bıraktı
Cumartesi yayımlanan bir gazete incelemesinin ortaya koyduğuna göre, çalınmış bir Sosyal Güvenlik numarası gibi mevcut bir yatırımcının kişisel bilgileriyle yeni hesap açan herkes, doğrudan o yatırımcının aktif profiline yönlendirildi.
Saldırganların kullanıcı adı, şifre ya da ele geçirilmiş bir telefona ihtiyacı yoktu. Bu profillere bağlı banka hesapları ve banka kartları da erişilebilir hale geldi.
Konuya aşina bir kişi, çalınan toplam tutarın görece düşük olduğunu ancak net bir rakam vermediğini söyledi. Şirket sözcüsü ise Polymarket’in olayda kaybedilen parayı karşılayacağını belirtti. Buna karşın kullanıcılar farklı bir tablo çizdi; binlerce dolarlık kayıplardan ve haftalarca yanıtsız kalan destek taleplerinden söz ettiler.
Bir yatırımcı, Temmuz ayında hesabına girdiğinde pozisyonlarının satıldığını ve 5.783,51 dolar kazancının kendisine ait olmayan bir banka kartına aktarıldığını fark ettiğini anlattı. Şirketin hesabına 25 dolar kredi yüklediğini, herhangi bir açıklama yapmadığını ve doğrulama bilgilerini iki kez göndermesinin ardından hesabı dondurduğunu söyledi.
Ayrıca okuyun: Nvidia 2030 tahminleri, 727 ila 28.560 dolar arasında devasa fark gösteriyor
Checkout.com uyarısı, Coplan tepkisinden önce geldi
Hesap açığının öncesinde, Şubat ayında daha geniş çaplı bir dolandırıcılık dalgası yaşandı. O dönemde hırsızlar, çalıntı banka kartlarını binlerce yeni ABD hesabına bağladı ve en az 10 milyon doları hareket ettirmeye çalıştı. Ödeme işlemcisi Checkout.com, bazı noktalarda para yatırma işlemlerinin yüzde 80’inden fazlasını sahtecilik şüphesiyle reddetti; oysa sektörde olağan oran yaklaşık yüzde 1 seviyesinde bulunuyor. Şirketin banka kartı kullanımına hesap başına üst sınır getirmesi ve antifraud hizmet sağlayıcısı Riskified ile çalışmaya başlamasının ardından dolandırıcılık oranları Mayıs’ta yeniden normale döndü.
Uyum ekibinin sorunu CEO Shayne Coplan’a taşıdığı, Coplan’ın ise büyümeyi sürdürmelerini ve düzenleyiciler bunu fark ederse ceza ödemelerini söylediği, mevcut ve eski çalışanların ifadelerine dayandırıldı. Habere konuşan kişilere göre ekip bu yanıttan şaşkınlık duydu.
Polymarket’in güvenlik geçmişi mercek altında
Analistler, yaklaşık 21 milyar dolar değerleme üzerinden yeni fon arayan şirkette büyümenin uyum süreçlerinin önüne geçip geçmediğini sorguluyor. Ayrıca belirtilen 10 milyon dolarlık tutarın gerçekleşen kaybı değil, girişim aşamasında kalan hırsızlık teşebbüsünü ifade ettiğine dikkat çekiliyor. Polymarket ise sistemlerini güçlendirdiğini söylüyor. Hukuk firması Sullivan & Cromwell tarafından yapılan iç incelemede de şirketin düzenlemelere uygun hareket ettiği sonucuna varıldı.
Temmuz ayındaki açık, platform açısından zorlu bir dönemin son halkası oldu. Şirket, kayıt açığına ilişkin kamuya açık bir sonrası değerlendirme yayımlamadı. Haziran ayında ise şirket, ele geçirilmiş bir tedarikçinin sitesine kötü amaçlı bir betik enjekte ettiğini doğruladı; saldırganlar, kullanıcı iadeleri taahhüt edilmeden önce 11 kullanıcı cüzdanından yaklaşık 3,1 milyon dolar boşalttı.
Sonraki haber: Google Gemini, bilinen ilk otonom ihlallerde 3 şirketi hackledi
