29 октября вредоносный код на сайте предсказательного рынка Polymarket продал позиции некоторых вошедших в систему трейдеров и перевел их средства хакерам. Код подменил скрипт ускорения загрузки страниц, который сайт загружал от сторонней компании. Polymarket заявила, что возместит около 2,7 миллиона долларов 726 пострадавшим кошелькам. Записи в блокчейне показывают, что криптовалюта на сумму около 2,64 миллиона долларов попала в кошелек хакеров менее чем за час.
Подмененный скрипт был предоставлен компанией DebugBear, чей инструмент мониторинга реальных пользователей (RUM) измеряет скорость загрузки веб-страниц для реальных посетителей. Исследователи из Hudson Rock загрузили вредоносный файл 29 октября по адресу, который сайт Polymarket использовал для загрузки скрипта DebugBear. Они также обнаружили изменение в коде сайта Polymarket, которое удалило скрипт DebugBear.
DNS-записи DebugBear были скомпрометированы через ее регистратора доменных имен, сообщила компания в X. Первоначальные выводы указывают на то, что атака была нацелена на веб-сайт одного клиента. Признаков взлома собственных систем DebugBear не обнаружено, хотя расследование продолжается. Исследователи из Ohey обнаружили, что другой сервер отвечал на веб-адреса DebugBear в 18:13 UTC, когда вредоносный файл все еще находился в сети. Ранее в тот же день обычный скрипт загружался из Google Cloud Storage. Каждый клиент DebugBear загружает свою собственную копию скрипта, и подмененным файлом был файл Polymarket.
Код повторно использует доступ, который вошедший в систему трейдер уже имеет на открытой странице Polymarket, выяснили в Hudson Rock после анализа файла без его запуска. Он считывает детали учетной записи, которые Polymarket хранит в браузере, включая набор ключей API для торговли. Одних только этих ключей API недостаточно для размещения заказа на Polymarket, поскольку для заказов также требуется подпись кошелька. Hudson Rock не обнаружил в коде частей, которые отправляют ключи, пароль, сид-фразу или приватный ключ на сервер, которому они сообщают. Вместо этого код ищет на странице часть сайта Polymarket, которая размещает заказы, и подписывающего, который одобряет транзакции учетной записи. Затем он выбирает один из двух путей. Для учетных записей, которые входят в систему с помощью собственного криптокошелька, он перемещает позиции трейдера напрямую в кошелек хакеров. Для учетных записей, которые входят через электронную почту, он продает позиции по все более худшим ценам, а затем выводит деньги. В обоих случаях код запрашивает у подписывающего учетной записи подписание своих запросов и передает их ретранслятору Polymarket, который их отправляет. Hudson Rock заявил, что один только запрос на подписание не доказывает, что трейдер подписал без подтверждения. Поставщик кошелька может по-прежнему запрашивать трейдера, отказываться или применять свои собственные правила для сеанса.
Кошелек, указанный в коде, получил первые средства в 17:10 UTC и последние в 18:02 UTC, согласно анализу блокчейна Ohey. За это время он собрал 28,6 миллиона токенов POL и позиции из 33 кошельков. В 18:19 UTC эти 28,6 миллиона POL стоили около 2,64 миллиона долларов по цене DefiLlama в 0,0922 доллара, подсчитали в DefiPrime. Эта цифра охватывает только POL, а не позиции. Кошелек отправил все 28,6 миллиона POL на три других адреса между 18:28 и 18:38 UTC, согласно истории транзакций.
Polymarket опубликовала свое первое обновление статуса о несанкционированной активности в кошельках пользователей в 17:38 UTC. В 18:05 UTC она сообщила, что ее биржа работает в режиме только отмены, а действия ретранслятора приостановлены. Компания заявила, что удалила скрипт «в течение часа». Она также очистила все кэши, сбросила все активные сеансы входа и приостановила торговлю до тех пор, пока сайт не будет очищен. Дело передано в правоохранительные органы.
К 30 октября 689 из 726 пострадавших кошельков были полностью возмещены, а оставшиеся 37 получали выплаты по мере их проверки. Polymarket также выплачивает 1,19 миллиона долларов примерно 5500 кошелькам, которые потеряли деньги во время торговой паузы или у которых были изъяты позиции. В общей сложности она возвращает трейдерам 3,9 миллиона долларов. Трейдерам не нужно подавать заявку. Страница статуса Polymarket содержит ссылку на форму для тех, кто считает, что сумма неверна или что им должны были произвести выплату.
DebugBear рекомендовала клиентам своего продукта RUM удалить код встраивания со своих веб-сайтов. Адрес, который обслуживал вредоносный файл, cdn.debugbear[.]com, не имел DNS-записи, когда The Hacker News проверила его 1 ноября. Polymarket заявила, что возвращает сторонние скрипты с дополнительными проверками, такими как более строгая политика безопасности контента (CSP), закрепленные версии и песочница.
Рекомендации Hudson Rock для сайтов, загружающих внешние скрипты: отклонять любые запросы на подписание, которые они не ожидали.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
