Хак в Polymarket: зловреден скрипт източи средства на потребители
Polymarket възобнови търговията и обеща пълно обезщетение, докато техническото разследване насочва към компрометирания доставчик за уеб мониторинг DebugBear.
Потребители на международната платформа Polymarket загубиха средства след пробив при външен доставчик. Компанията временно спря търговията, обяви, че е отстранила проблема, и пое ангажимент да възстанови изцяло загубите на засегнатите. Сделките бяха възобновени същия ден.
Reuters съобщава за възстановената работа на Polymarket и за сезирани британски правоохранителни органи. Източник на агенцията, запознат със случая, посочва DebugBear като компрометирания доставчик. В собственото си съобщение Polymarket не назовава компанията. DebugBear отделно признава за инцидент и призовава клиентите на своя продукт Real User Monitoring да премахнат вградения му код от сайтовете си.
Как външен скрипт е достигнал до търговските акаунти?
Зловредният код е търсил вече отворена потребителска сесия в Polymarket и функциите, чрез които тя подава поръчки и заявява подписи. Техническото разследване на Hudson Rock установява подобна логика в JavaScript файл, изтеглен от инфраструктура на DebugBear. Вместо само да измерва работата на сайта, скриптът проверява портфолиото и се опитва да насочи активи към предварително зададен получател.
Поведението зависи от вида на акаунта: единият път предвижда прехвърляне на токените, представляващи позиции в пазарите, а другият — продажба на позиции и последващо прехвърляне на наличните средства. Анализът на кода показва какво са целели нападателите, но не доказва успешно изпълнение на всяка операция или автоматично подписване без потвърждение.
Публикувана версия на Polymarket съдържа запис за премахването на DebugBear. Техническият запис не установява точния край на излагането на риск.
Причината външният инструмент да има толкова чувствителен достъп е начинът на включването му. Документацията на MDN за външните ресурси обяснява, че JavaScript, зареден директно в страница, може да използва останалите ѝ скриптове и данни. За браузъра такъв код на практика работи с правата на самата страница, независимо от кой сървър е изтеглен. Следователно проверката на правилния адрес на сайта сама по себе си не изключва подменен външен скрипт.
Достъпът на доставчика определя и възможните последици. При пробива при логистичен партньор на Trezor бяха разкрити данни за доставки. При Polymarket изследваният код достига до интерфейсите за търговия и подписване в активната сесия — много по-пряк път към потребителските активи.
Какво е потвърдено за загубите и обезщетенията?
Polymarket е поела ангажимент за пълно обезщетение, но в проверените съобщения няма потвърждение, че всички засегнати вече са получили средствата си. Възстановяването на търговията и приключването на компенсациите са отделни действия.
Хронологията, проверена от BleepingComputer, отчита режим само за отменяне на поръчки от 18:05 UTC и възстановяване около час по-късно. През паузата са спрени и действията през relayer услугата, която подава трансакции. За България прекъсването съответства приблизително на периода 20:05–21:05 ч. на 29 октомври. Продължителността му не показва колко време е действал зловредният код.
WIRED цитира оценка на Bubblemaps за около 700 засегнати потребители и приблизително 2,7 млн. долара откраднати средства. Polymarket не потвърждава тези числа пред изданието. Американската платформа Polymarket US не е засегната, а оценката за щетите не трябва да се смесва с моментния баланс на предполагаемия получател или с размера на последващи прехвърляния между портфейли.
За потребителите Hudson Rock препоръчва проверка на последните поръчки и движения на активи и запазване на часовете и идентификаторите на подозрителните трансакции. Неочаквани заявки за подпис и непоискани предложения за „възстановяване“ изискват отделна проверка. Насоките за разпознаване на крипто измами и фалшива поддръжка остават приложими и при обещано обезщетение: seed фразата не се предоставя на посредник, който твърди, че ще върне загубените средства.
Източници:
1. Hudson Rock — оригинален анализ на зловредния скрипт и границите на техническите доказателства
2. MDN — права на директно включените външни скриптове
3. Reuters чрез MarketScreener — възстановена търговия, DebugBear и обещаните обезщетения
4. BleepingComputer — хронология на прекъсването и техническо разследване
5. WIRED — оценката на Bubblemaps и обхватът на засегнатата платформа