Một lỗ hổng trong quy trình đăng ký tại Polymarket được cho là đã giúp kẻ tấn công dùng dữ liệu cá nhân bị đánh cắp chiếm quyền gần 500 tài khoản người dùng hiện hữu tại Mỹ vào cuối tháng 7, đồng thời tiếp cận cả các phương thức thanh toán đã liên kết.
Các điểm chính:
- Lỗi đăng ký bị cho là cho phép bất kỳ ai có thông tin cá nhân của nhà giao dịch đều có thể vào thẳng tài khoản đang hoạt động mà không cần tên đăng nhập hay mật khẩu
- Tài khoản ngân hàng và thẻ ghi nợ liên kết cũng bị lộ, một số người dùng nói họ mất hàng nghìn USD trong khi bộ phận hỗ trợ im lặng
- Vụ việc xảy ra sau làn sóng gian lận hồi tháng 2, khi tội phạm tìm cách chuyển ít nhất 10 triệu USD qua các thẻ ghi nợ bị đánh cắp
Lỗi đăng ký của Polymarket làm lộ tài khoản nhà giao dịch
Theo một cuộc điều tra được công bố hôm thứ Bảy bởi một tờ báo, bất kỳ ai mở tài khoản mới bằng thông tin cá nhân của một nhà giao dịch hiện hữu, chẳng hạn số An sinh xã hội bị đánh cắp, được cho là có thể được đưa thẳng vào hồ sơ đang hoạt động của người đó, theo phát hiện.
Kẻ xâm nhập không cần tên đăng nhập, mật khẩu hay thậm chí số điện thoại bị chiếm quyền; các tài khoản ngân hàng và thẻ ghi nợ gắn với những hồ sơ đó cũng có thể bị truy cập.
Một nguồn tin am hiểu vụ việc cho biết tổng số tiền bị chiếm đoạt là không lớn nhưng không nêu con số cụ thể. Trong khi đó, người phát ngôn của công ty nói Polymarket sẽ bù đắp số tiền người dùng bị thiệt hại trong vụ việc này. Tuy nhiên, nhiều người dùng lại kể một câu chuyện khác: họ nói đã mất hàng nghìn USD và chờ nhiều tuần vẫn không nhận được phản hồi từ bộ phận hỗ trợ.
Một nhà giao dịch cho biết khi đăng nhập vào tháng 7, anh phát hiện vị thế đã bị bán và khoản lãi 5.783,51 USD được chuyển vào một thẻ ghi nợ không thuộc sở hữu của mình. Anh nói công ty chỉ cộng 25 USD vào tài khoản, không đưa ra lời giải thích và sau đó khóa tài khoản dù anh đã hai lần gửi lại thông tin xác minh.
Đọc thêm: Dự báo Nvidia đến năm 2030 cho thấy biên độ giá từ 727 USD đến 28.560 USD
Cảnh báo từ Checkout.com xuất hiện trước phản ứng của Coplan
Lỗ hổng tài khoản này diễn ra sau một đợt gian lận diện rộng hơn vào tháng 2, khi tội phạm gắn các thẻ ghi nợ bị đánh cắp vào hàng nghìn tài khoản mới tại Mỹ và tìm cách chuyển ít nhất 10 triệu USD. Có thời điểm, đơn vị xử lý thanh toán Checkout.com từ chối hơn 80% giao dịch nạp tiền vì nghi gian lận, trong khi mức bình quân của ngành chỉ khoảng 1%. Tỷ lệ gian lận sau đó đã trở về mức bình thường vào tháng 5, sau khi công ty giới hạn số thẻ ghi nợ trên mỗi tài khoản và thuê Riskified làm đơn vị chống gian lận.
Bộ phận tuân thủ đã báo cáo vấn đề lên CEO Shayne Coplan, nhưng theo lời kể của các nhân viên hiện tại và cựu nhân viên, ông nói họ cứ tiếp tục tăng trưởng và nếu cơ quan quản lý phát hiện thì chỉ cần nộp phạt. Những người được hỏi cho biết đội ngũ này rất bất ngờ trước phản hồi đó.
Hồ sơ an ninh của Polymarket bị soi xét
Các nhà phân tích đã đặt câu hỏi liệu tăng trưởng có đang chạy trước khâu tuân thủ tại một công ty hiện đang tìm kiếm vốn với mức định giá khoảng 21 tỷ USD hay không. Họ cũng lưu ý rằng con số 10 triệu USD chỉ phản ánh các nỗ lực chiếm đoạt, chứ chưa phải thiệt hại đã được xác nhận. Polymarket cho biết đã tăng cường hệ thống, và một cuộc rà soát nội bộ do hãng luật Sullivan & Cromwell thực hiện kết luận doanh nghiệp đã tuân thủ các quy định.
Lỗ hổng hồi tháng 7 khép lại một giai đoạn đầy sóng gió với nền tảng này, vốn chưa công bố báo cáo hậu kiểm chính thức về sự cố đăng ký. Tháng 6, công ty xác nhận rằng một nhà cung cấp bị xâm nhập đã cài mã độc vào website của họ, và kẻ tấn công rút khoảng 3,1 triệu USD từ 11 ví người dùng trước khi công ty cam kết hoàn tiền.
Đọc tiếp: Google Gemini hack 3 công ty trong các vụ xâm nhập tự động đầu tiên được biết đến
