Polymarket — прогнозный рынок, где пользователи торгуют на исходах реальных событий, — подверглась атаке 29 октября: злоумышленники вывели примерно 2,7 млн долларов из сотен пользовательских кошельков, скомпрометировав сторонний сервис мониторинга и внедрив вредоносный код на сайт платформы.

Атака была направлена на международный торговый интерфейс Polymarket через DebugBear — провайдера мониторинга производительности сайтов, чей скомпрометированный JavaScript использовался для выполнения несанкционированных транзакций. Анализ блокчейна выявил 737 затронутых аккаунтов с совокупными потерями около 2,73 млн долларов; средства переводились через существующую инфраструктуру вывода Polymarket.

Polymarket временно приостановила торговлю, отключила обработку транзакций и удалила затронутую интеграцию, прежде чем восстановить работу. Компания подтвердила инцидент безопасности, передала дело правоохранительным органам Великобритании и обязалась возместить ущерб всем пострадавшим трейдерам. Подтверждённой уязвимости в смарт-контрактах Polymarket не было обнаружено: вместо этого атака exploitировала ПО, поставлявшееся через доверенный сторонний сервис.

Скомпрометированный скрипт DebugBear опустошил сотни кошельков

Атака исходила от вредоносного JavaScript, распространявшегося через инфраструктуру Real User Monitoring (RUM) DebugBear — сервиса, который сайты используют для отслеживания производительности и активности пользователей. Исследователи безопасности обнаружили, что скомпрометированный скрипт содержал функциональность для опустошения кошельков, способную взаимодействовать с аутентифицированными торговыми сессиями Polymarket. Попав в браузер пользователя, вредоносный код мог просматривать балансы аккаунтов, выявлять открытые позиции и инициировать несанкционированные переводы активов.

Сайты регулярно загружают сторонние скрипты для аналитики, рекламы и мониторинга производительности, и такой код выполняется в браузере посетителя наряду с собственным кодом сайта. Когда скрипт вендора оказывается скомпрометирован, вредоносная нагрузка может достичь каждого сайта, его внедрившего, — схема, широко известная как атака на цепочку поставок ПО.

Скрипт стремился ликвидировать позиции на прогнозном рынке и перенаправить криптовалютные активы на контролируемый злоумышленником адрес, используя существующую транзакционную инфраструктуру Polymarket. В отличие от классического взлома смарт-контракта, атака не требовала взлома базовых блокчейн-контрактов: она злоупотребляла легитимными функциями торговли и вывода средств, получив доступ через фронтенд сайта.

DebugBear признал инцидент безопасности, затронувший его инфраструктуру, и призвал клиентов, использующих его сервис мониторинга, удалить встроенный JavaScript со своих сайтов. Polymarket впоследствии удалила скомпрометированную зависимость, а её производственная сборка содержала обновление, целенаправленно затрагивающее интеграцию мониторинга DebugBear.

Инцидент напоминает июньскую атаку, в ходе которой у пользователей Polymarket было выведено около 2,94 млн долларов, когда другая скомпрометированная сторонняя зависимость позволила вредоносному коду попасть на фронтенд платформы. Оба случая показывают, как внешние программные интеграции могут подвергать риску активы пользователей, даже когда базовые смарт-контракты платформы остаются исправными.

Анализ блокчейна отследил 2,73 млн долларов от 737 аккаунтов

Трассировка транзакций 29 октября выявила 737 затронутых аккаунтов Polymarket и около 2,73 млн долларов несанкционированных выводов в период с 17:10 до 18:10 UTC. Расследователи отследили 985 отдельных выводящих транзакций за это окно, при этом наибольшая концентрация пришлась на период с 17:25 до 18:10 UTC. В пике активности фиксировалось до 40 транзакций в течение одной минуты. Четыре аккаунта составили около 43% выявленных потерь, при этом пострадали и сотни более мелких кошельков.

Переводы проходили через легитимную relayer-инфраструктуру Polymarket, которая отправляет транзакции от имени пользователей, с использованием валидных авторизаций транзакций. Украденные активы впоследствии были обменены на POL — нативную криптовалюту Polygon, сети, на которой работает торговая активность Polymarket, — а затем распределены по дополнительным кошелькам. Основной адрес получения, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, накопил в ходе инцидента примерно 28,6 млн POL.

Позже злоумышленник перевёл средства на три дополнительных кошелька, часть активов была направлена в Ethereum через сервисы кроссчейн-мостов. По состоянию на 19:49 UTC около 2,17 млн долларов отслеженных средств оставались на Polygon, тогда как другая часть выручки уже перемещалась между сетями.

Ончейн-расследование также выявило ещё один вывод на сумму около 11 долларов в 19:11 UTC — после того как Polymarket объявила об устранении проблемы. Транзакция была совершена с аккаунта, ранее затронутого атакой, что вызывает вопросы о том, все ли вредоносные авторизации были немедленно нейтрализованы. Polymarket не подтвердила независимо ни оценку потерь в 2,73 млн долларов, ни заявленное число затронутых аккаунтов.

Polymarket возобновила торговлю и обещает полное возмещение

Polymarket первоначально перевела свою международную биржу в режим «только отмена» примерно в 18:05 UTC, позволив пользователям отменять существующие ордера, блокируя новые сделки и приостанавливая работу relayer. Платформа выявила и удалила скомпрометированную интеграцию, объявив в 18:37 UTC, что уязвимость устранена. Торговля возобновилась примерно в 19:05 UTC, завершив перерыв продолжительностью около часа. Отдельная платформа Polymarket US, по имеющимся данным, не пострадала.

Polymarket обязалась компенсировать ущерб всем пострадавшим трейдерам, однако не раскрыла число имеющих право на возмещение пользователей, сроки выплат и то, будет ли какая-либо часть украденных средств возвращена. Компания также передала инцидент правоохранительным органам Великобритании, где базируется DebugBear, пока расследователи устанавливают, как была скомпрометирована инфраструктура провайдера мониторинга.

Сложный период для безопасности криптоплатформ

Этот взлом дополняет непростой период для безопасности криптовалютных платформ. В тот же день Binance подтвердила взлом на 6,3 млрд долларов, при этом около 3 млрд долларов активов было заморожено после несанкционированных переводов в нескольких блокчейнах. Нет доказательств связи между двумя инцидентами, а их предполагаемые методы атаки существенно различаются.

Для Polymarket последний взлом вновь поднимает вопросы о сторонних зависимостях и защите браузерных криптовалютных транзакций. Даже без прямого доступа к приватным ключам пользователей или уязвимости в базовых смарт-контрактах вредоносный код, доставленный через доверенную интеграцию сайта, смог инициировать несанкционированные сделки и выводы средств.

Polymarket восстановила нормальную торговлю и обязалась покрыть потери пользователей, однако полное техническое объяснение компрометации DebugBear, окончательные финансовые последствия и процесс возврата средств остаются неясными.

Источник: Crypto Adventure