Polymarket, un prediction market in cui gli utenti fanno trading sugli esiti di eventi del mondo reale, ha subìto una violazione della sicurezza il 29 ottobre, in cui gli aggressori hanno sottratto circa 2,7 milioni di dollari da centinaia di wallet di utenti dopo aver compromesso un servizio di monitoraggio di terze parti e iniettato codice dannoso nel sito web della piattaforma.

L'attacco ha preso di mira l'interfaccia di trading internazionale di Polymarket tramite DebugBear, un provider di monitoraggio delle prestazioni dei siti web il cui JavaScript compromesso è stato utilizzato per eseguire transazioni non autorizzate. L'analisi blockchain ha identificato 737 account interessati, con perdite complessive di circa 2,73 milioni di dollari, e i fondi sono stati trasferiti attraverso l'infrastruttura di prelievo esistente di Polymarket.

Polymarket ha temporaneamente sospeso il trading, disattivato l'elaborazione delle transazioni e rimosso l'integrazione interessata prima di ripristinare le operazioni. L'azienda ha confermato l'incidente di sicurezza, ha segnalato la questione alle forze dell'ordine britanniche e si è impegnata a rimborsare tutti i trader coinvolti. La violazione non ha coinvolto una vulnerabilità confermata negli smart contract di Polymarket; ha invece sfruttato software distribuito tramite un servizio di terze parti affidato.

Lo script compromesso di DebugBear drena centinaia di wallet

L'attacco ha avuto origine da JavaScript dannoso distribuito attraverso l'infrastruttura Real User Monitoring (RUM) di DebugBear, un servizio utilizzato dai siti web per monitorare prestazioni e attività degli utenti. I ricercatori di sicurezza hanno scoperto che lo script compromesso conteneva funzionalità di svuotamento dei wallet in grado di interagire con le sessioni di trading autenticate di Polymarket. Una volta caricato nel browser di un utente, il codice dannoso poteva ispezionare i saldi dei conti, identificare le posizioni aperte e avviare trasferimenti di asset non autorizzati.

I siti web caricano regolarmente script di terze parti per analisi, pubblicità e monitoraggio delle prestazioni, e tale codice viene eseguito nel browser del visitatore insieme a quello del sito stesso. Quando lo script di un fornitore viene compromesso, il payload dannoso può raggiungere ogni sito che lo incorpora — uno schema comunemente descritto come attacco alla catena di fornitura del software.

Lo script ha cercato di liquidare le posizioni del prediction market e di dirottare le criptovalute verso un indirizzo controllato dall'aggressore, utilizzando l'infrastruttura di transazioni esistente di Polymarket. A differenza di un classico exploit di smart contract, l'attacco non ha richiesto di violare i contratti blockchain sottostanti; ha invece abusato delle funzioni legittime di trading e prelievo dopo aver ottenuto l'accesso tramite il frontend del sito web.

DebugBear ha riconosciuto un incidente di sicurezza che ha interessato la sua infrastruttura e ha invitato i clienti che utilizzano il suo servizio di monitoraggio a rimuovere il JavaScript incorporato dai loro siti web. Polymarket ha successivamente rimosso la dipendenza compromessa, con la sua build di produzione che mostrava un aggiornamento mirato specificamente all'integrazione di monitoraggio DebugBear.

L'incidente ricorda da vicino un attacco di giugno che ha drenato circa 2,94 milioni di dollari dagli utenti di Polymarket, quando un'altra dipendenza di terze parti compromessa aveva permesso a codice dannoso di raggiungere il frontend della piattaforma. Entrambi gli incidenti sottolineano come le integrazioni software esterne possano esporre gli asset degli utenti anche quando gli smart contract centrali di una piattaforma restano operativi.

L'analisi blockchain traccia 2,73 milioni di dollari da 737 account

La traccia delle transazioni del 29 ottobre ha identificato 737 account Polymarket interessati e circa 2,73 milioni di dollari in prelievi non autorizzati tra le 17:10 e le 18:10 UTC. Gli investigatori hanno tracciato 985 singole transazioni di svuotamento durante tale finestra, con la maggiore concentrazione verificatasi tra le 17:25 e le 18:10 UTC. Al picco di attività, sono state registrate fino a 40 transazioni in un solo minuto. Quattro account rappresentavano circa il 43% delle perdite identificate, mentre anche centinaia di wallet più piccoli sono stati colpiti.

I trasferimenti sono avvenuti attraverso la legittima infrastruttura di relayer di Polymarket, che invia transazioni per conto degli utenti, utilizzando autorizzazioni di transazione valide. Gli asset rubati sono stati successivamente convertiti in POL, la criptovaluta nativa di Polygon — la rete che ospita l'attività di trading di Polymarket — prima di essere distribuiti tra altri wallet. Un indirizzo di ricezione principale, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, ha accumulato circa 28,6 milioni di POL durante l'incidente.

L'aggressore ha successivamente spostato i fondi in altri tre wallet, con alcuni asset instradati verso Ethereum tramite servizi di bridge cross-chain. Alle 19:49 UTC, circa 2,17 milioni di dollari dei fondi tracciati si trovavano ancora su Polygon, mentre altri proventi avevano iniziato a spostarsi tra le reti.

L'indagine on-chain ha inoltre identificato un ulteriore prelievo del valore di circa 11 dollari alle 19:11 UTC, dopo che Polymarket aveva annunciato che il problema di fondo era stato risolto. La transazione coinvolgeva un account già colpito dall'attacco, sollevando domande sul fatto che tutte le autorizzazioni dannose siano state neutralizzate immediatamente. Polymarket non ha confermato in modo indipendente la stima delle perdite di 2,73 milioni di dollari né il numero segnalato di account interessati.

Polymarket ripristina il trading e promette rimborsi completi

Polymarket ha inizialmente portato il suo exchange internazionale in modalità solo annullamento alle 18:05 UTC circa, consentendo agli utenti di annullare gli ordini esistenti bloccando le nuove operazioni e sospendendo le operazioni del relayer. La piattaforma ha identificato e rimosso l'integrazione compromessa prima di annunciare alle 18:37 UTC che la vulnerabilità era stata risolta. Il trading è ripreso alle 19:05 UTC circa, ponendo fine a un'interruzione di circa un'ora. La piattaforma separata Polymarket US non risulta essere stata interessata.

Polymarket si è impegnata a compensare tutti i trader coinvolti, sebbene non abbia divulgato il numero di utenti aventi diritto, un calendario dei rimborsi né se e quanto dei fondi rubati sia stato recuperato. L'azienda ha inoltre segnalato l'incidente alle forze dell'ordine britanniche, dove ha sede DebugBear, mentre gli investigatori lavorano per stabilire come sia stata compromessa l'infrastruttura del provider di monitoraggio.

Un periodo difficile per la sicurezza delle piattaforme crypto

La violazione si aggiunge a un periodo difficile per la sicurezza delle piattaforme di criptovalute. Lo stesso giorno, Binance ha confermato una violazione della sicurezza da 6,3 miliardi di dollari, con circa 3 miliardi di dollari in asset congelati a seguito di trasferimenti non autorizzati su più blockchain. Non vi sono prove che colleghino i due incidenti, e i presunti metodi di attacco differiscono sostanzialmente.

Per Polymarket, l'ultimo exploit solleva rinnovati interrogativi sulle dipendenze di terze parti e sulle protezioni relative alle transazioni di criptovalute basate su browser. Anche senza accesso diretto alle chiavi private degli utenti o a una vulnerabilità negli smart contract sottostanti, il codice dannoso distribuito tramite un'integrazione web affidata è riuscito a innescare operazioni di trading e prelievi non autorizzati.

Polymarket ha ripristinato il normale funzionamento del trading e si è impegnata a coprire le perdite degli utenti, ma una spiegazione tecnica completa della compromissione di DebugBear, dell'impatto finanziario finale e del processo di recupero resta ancora in sospeso.

Fonte: Crypto Adventure