Polymarket, eine Prognoseplattform, auf der Nutzer auf den Ausgang realer Ereignisse handeln, erlitt am 29. Oktober einen Sicherheitsvorfall, bei dem Angreifer rund 2,7 Millionen US-Dollar aus Hunderten von Nutzer-Wallets abzogen, nachdem sie einen Drittanbieter-Monitoring-Dienst kompromittiert und bösartigen Code in die Website der Plattform eingeschleust hatten.

Der Angriff richtete sich über DebugBear gegen die internationale Handelsoberfläche von Polymarket, einen Anbieter von Website-Performance-Monitoring, dessen kompromittiertes JavaScript zur Ausführung unautorisierter Transaktionen verwendet wurde. Eine Blockchain-Analyse identifizierte 737 betroffene Konten mit Gesamtschäden von rund 2,73 Millionen US-Dollar; die Gelder wurden über die bestehende Auszahlungsinfrastruktur von Polymarket bewegt.

Polymarket setzte den Handel vorübergehend aus, deaktivierte die Transaktionsverarbeitung und entfernte die betroffene Integration, bevor der Betrieb wieder aufgenommen wurde. Das Unternehmen bestätigte den Sicherheitsvorfall, leitete die Angelegenheit an die britische Polizei weiter und kündigte an, alle betroffenen Trader zu entschädigen. Der Vorfall beruhte nicht auf einer bestätigten Schwachstelle in den Smart Contracts von Polymarket; stattdessen wurde Software ausgenutzt, die über einen vertrauenswürdigen Drittanbieterdienst geliefert wurde.

Kompromittiertes DebugBear-Skript leert Hunderte Wallets

Der Angriff ging von bösartigem JavaScript aus, das über die Real-User-Monitoring-Infrastruktur (RUM) von DebugBear verbreitet wurde, einen Dienst, den Websites zur Überwachung von Performance und Nutzeraktivität einsetzen. Sicherheitsforscher fanden heraus, dass das kompromittierte Skript Wallet-Draining-Funktionen enthielt, die mit authentifizierten Polymarket-Handelssitzungen interagieren konnten. Sobald der bösartige Code in den Browser eines Nutzers geladen war, konnte er Kontostände einsehen, offene Positionen identifizieren und unautorisierte Asset-Transfers einleiten.

Websites laden routinemäßig Skripte von Drittanbietern für Analytik, Werbung und Performance-Monitoring, und solcher Code wird im Browser des Besuchers zusammen mit dem eigenen Code der Seite ausgeführt. Wird das Skript eines Anbieters kompromittiert, kann die bösartige Nutzlast jede Website erreichen, die es einbettet – ein Muster, das gemeinhin als Attacke auf die Software-Lieferkette bezeichnet wird.

Das Skript versuchte, Prognosemarkt-Positionen zu liquidieren und Kryptobestände an eine von den Angreifern kontrollierte Adresse umzuleiten, wobei die bestehende Transaktionsinfrastruktur von Polymarket genutzt wurde. Anders als bei einem klassischen Smart-Contract-Exploit war es nicht erforderlich, die zugrunde liegenden Blockchain-Verträge zu brechen; stattdessen missbrauchte der Angriff legitime Handels- und Auszahlungsfunktionen, nachdem er über das Frontend der Website Zugriff erhalten hatte.

DebugBear räumte einen Sicherheitsvorfall ein, der seine Infrastruktur betraf, und forderte Kunden, die seinen Monitoring-Dienst nutzen, auf, das eingebettete JavaScript von ihren Websites zu entfernen. Polymarket entfernte anschließend die kompromittierte Abhängigkeit; sein Produktions-Build zeigt ein Update, das gezielt auf die DebugBear-Monitoring-Integration abzielt.

Der Vorfall ähnelt stark einem Angriff im Juni, bei dem rund 2,94 Millionen US-Dollar von Polymarket-Nutzern abgeflossen waren, als eine andere kompromittierte Drittanbieter-Abhängigkeit bösartigen Code bis ins Frontend der Plattform gelangen ließ. Beide Vorfälle zeigen, wie externe Software-Integrationen Nutzerassets gefährden können, selbst wenn die zentralen Smart Contracts einer Plattform intakt bleiben.

Blockchain-Analyse verfolgt 2,73 Millionen US-Dollar von 737 Konten

Die Transaktionskette vom 29. Oktober identifizierte 737 betroffene Polymarket-Konten und unautorisierte Abhebungen von rund 2,73 Millionen US-Dollar zwischen 17:10 und 18:10 UTC. Die Ermittler verfolgten in diesem Zeitfenster 985 einzelne Draining-Transaktionen, wobei die größte Konzentration zwischen 17:25 und 18:10 UTC auftrat. Bei Spitzenaktivität wurden bis zu 40 Transaktionen innerhalb einer einzigen Minute registriert. Vier Konten machten etwa 43 % der ermittelten Verluste aus; auch Hunderte kleinere Wallets waren betroffen.

Die Transfers liefen über die legitime Relayer-Infrastruktur von Polymarket, die Transaktionen im Auftrag der Nutzer einreicht, mit gültigen Transaktionsautorisierungen. Die gestohlenen Assets wurden anschließend in POL, die native Kryptowährung von Polygon – dem Netzwerk, auf dem die Handelsaktivität von Polymarket stattfindet – umgetauscht, bevor sie auf weitere Wallets verteilt wurden. Eine zentrale Empfängeradresse, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, sammelte während des Vorfalls rund 28,6 Millionen POL an.

Der Angreifer verlagerte die Gelder später in drei weitere Wallets, wobei ein Teil der Assets über Cross-Chain-Bridging-Dienste in Richtung Ethereum bewegt wurde. Um 19:49 UTC befanden sich rund 2,17 Millionen US-Dollar der verfolgten Gelder noch auf Polygon, während andere Erlöse bereits netzwerkübergreifend in Bewegung waren.

Die On-Chain-Untersuchung identifizierte auch eine zusätzliche Abhebung im Wert von rund 11 US-Dollar um 19:11 UTC, nachdem Polymarket bereits angekündigt hatte, das zugrunde liegende Problem sei behoben. Die Transaktion betraf ein zuvor bereits vom Angriff betroffenes Konto, was die Frage aufwirft, ob alle bösartigen Autorisierungen sofort neutralisiert worden waren. Polymarket hat die Verlustschätzung von 2,73 Millionen US-Dollar oder die berichtete Zahl der betroffenen Konten nicht unabhängig bestätigt.

Polymarket nimmt Handel wieder auf und verspricht vollständige Entschädigung

Polymarket stellte seine internationale Börse zunächst um 18:05 UTC in den Cancel-only-Modus, sodass Nutzer bestehende Orders stornieren konnten, während neue Trades blockiert und die Relayer-Vorgänge pausiert wurden. Die Plattform identifizierte und entfernte die kompromittierte Integration, bevor sie um 18:37 UTC ankündigte, die Schwachstelle sei behoben. Der Handel wurde um etwa 19:05 UTC wieder aufgenommen, womit eine Unterbrechung von rund einer Stunde endete. Die separate Plattform Polymarket US war laut Berichten nicht betroffen.

Polymarket hat zugesagt, alle betroffenen Trader zu entschädigen, hat jedoch nicht bekannt gegeben, wie viele Nutzer anspruchsberechtigt sind, wann die Entschädigungen erfolgen oder ob gestohlene Gelder bereits zurückgeholt wurden. Das Unternehmen hat den Vorfall zudem an die britische Polizei weitergeleitet, in deren Zuständigkeitsbereich DebugBear seinen Sitz hat, während die Ermittler klären, wie die Infrastruktur des Monitoring-Anbieters kompromittiert wurde.

Eine schwierige Phase für die Sicherheit von Krypto-Plattformen

Der Vorfall fügt sich in eine schwierige Phase für die Sicherheit von Kryptowährungsplattformen ein. Am selben Tag bestätigte Binance einen Sicherheitsvorfall im Wert von 6,3 Milliarden US-Dollar, wobei rund 3 Milliarden US-Dollar an Assets nach unautorisierten Transfers über mehrere Blockchains eingefroren wurden. Es gibt keine Hinweise auf einen Zusammenhang zwischen den beiden Vorfällen, und die vermuteten Angriffsmethoden unterscheiden sich erheblich.

Für Polymarket wirft der jüngste Exploit erneut Fragen zu Drittanbieter-Abhängigkeiten und zum Schutz browserbasierter Kryptowährungs-Transaktionen auf. Selbst ohne direkten Zugriff auf die privaten Schlüssel der Nutzer oder eine Schwachstelle in den zugrunde liegenden Smart Contracts war bösartiger Code, der über eine vertrauenswürdige Website-Integration geliefert wurde, in der Lage, unautorisierte Trades und Abhebungen auszulösen.

Polymarket hat den normalen Handel wieder aufgenommen und zugesagt, die Verluste der Nutzer zu übernehmen; eine vollständige technische Erklärung der DebugBear-Kompromittierung, die endgültigen finanziellen Auswirkungen und der Sanierungsprozess stehen jedoch noch aus.

Quelle: Crypto Adventure