Polymarket, een voorspelmarkt waar gebruikers handelen op de uitkomst van echte gebeurtenissen, werd op 29 oktober getroffen door een security-incident waarbij aanvallers ongeveer $2,7 miljoen uit honderden gebruikerswallets haalden nadat ze een monitoringdienst van derden hadden gecompromitteerd en kwaadaardige code in de website van het platform hadden geïnjecteerd.

De aanval richtte zich op de internationale handelsinterface van Polymarket via DebugBear, een provider voor websiteprestatiemonitoring waarvan de gecompromitteerde JavaScript werd gebruikt om ongeautoriseerde transacties uit te voeren. Blockchainanalyse identificeerde 737 getroffen accounts met een gezamenlijk verlies van ongeveer $2,73 miljoen, waarbij het geld werd verplaatst via de bestaande opname-infrastructuur van Polymarket.

Polymarket schortte de handel tijdelijk op, schakelde de transactieverwerking uit en verwijderde de getroffen integratie voordat de operaties werden hervat. Het bedrijf bevestigde het security-incident, meldde de zaak bij de Britse politie en beloofde alle getroffen handelaren te compenseren. Het lek betrof geen bevestigd kwetsbaarheid in de smart contracts van Polymarket; in plaats daarvan werd software via een vertrouwde dienst van derden misbruikt.

Gecompromitteerd DebugBear-script plundert honderden wallets

De aanval ontstond uit kwaadaardige JavaScript die werd verspreid via de Real User Monitoring-infrastructuur (RUM) van DebugBear, een dienst die websites gebruiken om prestaties en gebruikersactiviteit bij te houden. Onderzoekers ontdekten dat het gecompromitteerde script wallet-draining-functionaliteit bevatte die kon interageren met geauthenticeerde Polymarket-handelssessies. Eenmaal geladen in de browser van een gebruiker kon de kwaadaardige code accountbalansen inspecteren, openstaande posities identificeren en ongeautoriseerde activatransfers starten.

Websites laden routinematig scripts van derden voor analytics, advertenties en prestatiemonitoring, en dergelijke code wordt uitgevoerd in de browser van de bezoeker naast de code van de site zelf. Wanneer het script van een leverancier wordt gecompromitteerd, kan de kwaadaardige payload elke site bereiken die het insluit — een patroon dat doorgaans een aanval op de software supply chain wordt genoemd.

Het script probeerde posities op de voorspelmarkt te liquideren en cryptobezittingen om te leiden naar een door de aanvaller gecontroleerd adres, waarbij gebruik werd gemaakt van de bestaande transactie-infrastructuur van Polymarket. In tegenstelling tot een conventionele smart contract-exploit hoefde de aanval de onderliggende blockchaincontracten niet te breken; het misbruikte legitieme handels- en opnamefuncties na toegang te hebben verkregen via de frontend van de website.

DebugBear erkende een security-incident dat zijn infrastructuur trof en drong er bij klanten die gebruikmaken van zijn monitoringdienst op aan de ingesloten JavaScript van hun websites te verwijderen. Polymarket verwijderde vervolgens de gecompromitteerde dependency, waarbij de productiebuild een update toonde die specifiek gericht was op de DebugBear-monitoringintegratie.

Het incident lijkt sterk op een aanval in juni waarbij ongeveer $2,94 miljoen van Polymarket-gebruikers werd weggehaald, toen een andere gecompromitteerde dependency van derden het mogelijk maakte dat kwaadaardige code de frontend van het platform bereikte. Beide incidenten onderstrepen hoe externe software-integraties gebruikersbezittingen kunnen blootstellen, zelfs wanneer de kern-smart contracts van een platform operationeel blijven.

Blockchainanalyse spoort $2,73 miljoen van 737 accounts op

Het transactiespoor van 29 oktober identificeerde 737 getroffen Polymarket-accounts en ongeveer $2,73 miljoen aan ongeautoriseerde opnames tussen 17:10 en 18:10 UTC. Onderzoekers volgden 985 afzonderlijke draining-transacties in dat venster, met de grootste concentratie tussen 17:25 en 18:10 UTC. Op het piekmoment werden binnen één minuut wel 40 transacties geregistreerd. Vier accounts waren verantwoordelijk voor ongeveer 43% van de geïdentificeerde verliezen, terwijl ook honderden kleinere wallets werden getroffen.

De transfers verliepen via de legitieme relayer-infrastructuur van Polymarket, die transacties namens gebruikers indient, met geldige transactieautorisaties. De gestolen activa werden vervolgens omgewisseld naar POL, de native cryptocurrency van Polygon — het netwerk dat de handelsactiviteit van Polymarket host — voordat ze over extra wallets werden verdeeld. Een belangrijk ontvangstadres, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, hoopte tijdens het incident ongeveer 28,6 miljoen POL op.

De aanvaller verplaatste het geld later naar drie extra wallets, waarbij een deel van de activa via cross-chain brugdiensten richting Ethereum werd geleid. Om 19:49 UTC bevond zich nog ongeveer $2,17 miljoen van het getraceerde geld op Polygon, terwijl andere opbrengsten al over netwerken begonnen te bewegen.

Het on-chain onderzoek identificeerde ook één extra opname ter waarde van ongeveer $11 om 19:11 UTC, nadat Polymarket had aangekondigd dat het onderliggende probleem was opgelost. De transactie betrof een account dat eerder door de aanval was getroffen, wat vragen oproept over de vraag of alle kwaadaardige autorisaties onmiddellijk waren geneutraliseerd. Polymarket heeft het verlies van $2,73 miljoen of het gerapporteerde aantal getroffen accounts niet onafhankelijk bevestigd.

Polymarket hervat de handel en belooft volledige compensatie

Polymarket zette zijn internationale beurs aanvankelijk rond 18:05 UTC in de cancel-only modus, waardoor gebruikers bestaande orders konden annuleren terwijl nieuwe transacties werden geblokkeerd en de relayer-activiteit werd gepauzeerd. Het platform identificeerde en verwijderde de gecompromitteerde integratie voordat het om 18:37 UTC aankondigde dat het lek was verholpen. De handel werd rond 19:05 UTC hervat, waarmee een onderbreking van ongeveer een uur eindigde. Van het afzonderlijke Polymarket US-platform werd niet gemeld dat het was getroffen.

Polymarket heeft toegezegd alle getroffen handelaren te compenseren, maar heeft niet bekendgemaakt hoeveel gebruikers in aanmerking komen, wat het compensatieschema is of of er gestolen geld is teruggevorderd. Het bedrijf heeft het incident ook gemeld bij de Britse politie, waar DebugBear is gevestigd, terwijl onderzoekers proberen vast te stellen hoe de infrastructuur van de monitoringprovider is gecompromitteerd.

Een moeilijke periode voor de beveiliging van cryptoplatforms

Het lek voegt toe aan een moeilijke periode voor de beveiliging van cryptoplatforms. Op dezelfde dag bevestigde Binance een security-incident van $6,3 miljard, waarbij ongeveer $3 miljard aan activa werd bevroren na ongeautoriseerde transfers over meerdere blockchains. Er is geen bewijs dat de twee incidenten met elkaar verbonden zijn, en de vermoedelijke aanvalsmethoden verschillen aanzienlijk.

Voor Polymarket roept de nieuwste exploit opnieuw vragen op over dependencies van derden en de bescherming rond browsergebaseerde cryptotransacties. Zonder directe toegang tot de privésleutels van gebruikers of een kwetsbaarheid in de onderliggende smart contracts, kon kwaadaardige code die via een vertrouwde website-integratie werd aangeleverd ongeautoriseerde transacties en opnames activeren.

Polymarket heeft de normale handel hervat en toegezegd de verliezen van gebruikers te dekken, maar een volledige technische uitleg van de DebugBear-compromittering, de uiteindelijke financiële impact en het herstelproces blijft uit.

Bron: Crypto Adventure