Nền tảng thị trường dự đoán Polymarket đã mất 3,1 triệu đô sau khi kẻ tấn công xâm nhập một nhà cung cấp frontend bên thứ ba và rút tiền khỏi 11 ví người dùng.
Các smart contract đã được kiểm toán của chính nền tảng vẫn nguyên vẹn trong suốt sự cố.
Theo một báo cáo, các token PUSD bị đánh cắp đã được chuyển từ Polygon (POL) sang Ethereum (ETH) thông qua một cầu nối cross-chain. Polymarket chưa công khai tên của nhà cung cấp bị xâm phạm.
Cách thức tấn công hoạt động
Các cuộc tấn công nhắm vào nhà cung cấp frontend sẽ đánh vào giao diện web kết nối người dùng với các hợp đồng nền tảng bên dưới. Bản thân các smart contract nắm giữ và quản lý tài sản, nhưng người dùng tương tác thông qua một lớp giao diện trên trình duyệt được xây dựng và vận hành bởi các nhà cung cấp phần mềm bên thứ ba.
Trong trường hợp này, có vẻ như kẻ tấn công đã chèn mã độc vào chính lớp giao diện đó. Những người dùng bị ảnh hưởng, những người tương tác với frontend của Polymarket trong khoảng thời gian bị tấn công, đã bị chuyển hướng các lệnh phê duyệt ví. Mười một ví bị mất tiền trước khi lỗ hổng bị phát hiện.
Việc các smart contract vượt qua kiểm toán chỉ mang lại mức bảo vệ hạn chế khi hướng tấn công nằm ở tầng phía trên của lớp hợp đồng.
Điều tra pháp lý gia tăng áp lực sau sự cố bảo mật
Polymarket hoạt động trong tình trạng bị giám sát pháp lý chặt chẽ kể từ khi Ủy ban Giao dịch Hàng hóa Tương lai (CFTC) bắt đầu điều tra quyền truy cập người dùng Mỹ vào nền tảng này. Cuộc điều tra của CFTC, kéo dài đến tận năm 2026, tập trung vào việc liệu các thị trường dự đoán của Polymarket có cấu thành các hợp đồng hàng hóa chưa đăng ký cung cấp cho người dùng Mỹ hay không.
Nền tảng này thu hút sự chú ý của công chúng trong chu kỳ bầu cử Mỹ năm 2024, khi các thị trường của nó thường xuyên được trích dẫn trong truyền thông về tỷ lệ thắng cử tổng thống. Mức độ nổi tiếng đó vừa mang lại tăng trưởng người dùng, vừa kéo theo soi xét từ cơ quan quản lý. Sự kết hợp giữa một cuộc điều tra đang diễn ra của CFTC và một sự cố bảo mật nổi bật tạo ra áp lực danh tiếng chồng chất cho đội ngũ vận hành nền tảng.
Bảo mật thị trường dự đoán từ lâu đã là mối lo ngại lặp lại trong lĩnh vực này. Các cuộc tấn công vào frontend đặc biệt khó ngăn chặn vì chúng dựa vào việc xâm phạm các nhà cung cấp bên thứ ba thay vì giao thức cốt lõi. Nhiều nền tảng DeFi đã chịu những vụ xâm phạm chuỗi cung ứng tương tự trong hai năm qua.
Đọc thêm: Micron trở thành ám ảnh AI mới của Phố Wall sau cú tăng 236%
Điều gì sẽ xảy ra tiếp theo
Polymarket chưa xác nhận liệu những người dùng bị ảnh hưởng có được bồi thường hay không. Nền tảng cũng chưa tiết lộ danh tính nhà cung cấp bị xâm phạm, điều này hạn chế khả năng bên thứ ba rà soát bảo mật chuỗi tấn công.
Cuộc điều tra của CFTC khiến tình hình trở nên phức tạp hơn. Bất kỳ tuyên bố công khai nào về vụ hack đều có thể giao thoa với các thủ tục pháp lý đang diễn ra. Việc chuyển tài sản bị đánh cắp sang Ethereum qua một cầu nối giúp việc truy vết về nguyên tắc là khả thi, dù các vụ thu hồi trong những vụ khai thác vendor frontend là rất hiếm nếu không có sự tham gia của cơ quan thực thi pháp luật.
Đọc tiếp: HIVE vừa vay 115 triệu đô với lãi suất 0% để đặt cược chống lại đào Bitcoin