Polymarket oprește tranzacțiile după breaching; 2,5 milioane $ urmărite

Polymarket oprește tranzacțiile după breaching; 2,5 milioane $ urmărite!

Polymarket a suspendat temporar operațiunile de tranzacționare joi. Un furnizor terț a fost compromisat, permițând hackerilor să distribuie un script JavaScript creat să golească portofelele cripto.

Compania a confirmat incidentul de securitate și a remediat problema care afecta Polymarket. com. Cazul a fost trimis autorităților de aplicare a legii.

Unul dintre furnizorii noștri terți a fost compromisat și am trimis acest breaching autorităților competente, a declarat Polymarket. Orice persoană afectată va fi compensată integral.

Ca măsură de precauție, am oprit tranzacțiile temporar și lucrăm la restaurarea platformei.

Polymarket a pus inițial bursele sale în mod doar-annulare la 2:05 ET. Acțiunile Relay au fost oprite în timpul investigației.

La 2:37, compania a anunțat că problema a fost remediată. Tranzacțiile au fost oprite temporar din precauție. Operațiunile au reluat aproximativ o oră după suspendarea inițială.

Incidentul a fost marcat ca rezolvat la 3:05 ET.

Tranzacțiile sunt acum complet redeschise, a anunțat compania pe X.

„Vom corecta situația și vom rambursa integral toți traderii afectați.”

Polymarket nu a dezvăluit câți utilizatori au fost afectați. Nici câtă cripto a fost furată. Procesul de rambursare rămâne neclar. Cercetătorii de securitate de la Hudson Rock au identificat un portofel suspect al atacatorului. Acest portofel era încorporat în scriptul JavaScript malițios.

Cercetătorii Hudson Rock au identificat un script JavaScript malițios.

A fost distribuit printr-un serviciu de monitorizare terț. Scriptul era conceput să fure cripto și poziții de piață de predicții de la utilizatorii Polymarket. Scriptul era găzduit pe infrastructura unui serviciu de monitorizare a performanței web.

Acest serviciu ajută organizațiile să urmărească viteza de încărcare și experiența utilizatorului.

Serviciul a confirmat că investighează un incident de securitate în curs.

Scriptul malițios care golește portofelele?

A sfătut clienții să elimine codul de monitorizare de pe site-urile lor.

„Suntem afectați de un incident de securitate în curs”, a declarat serviciul.

„Dacă folosiți produsul nostru RUM, vă rugăm să eliminați codul încorporat de pe site-ul dvs.”

La momentul scrierii, site-ul serviciului de monitorizare era inaccesibil. Afisha o eroare Cloudflare. Nu e clar dacă panoul se leagă de eforturile de limitare a incidentului.

Hudson Rock a găsit și metadate de build pentru Polymarket. Mesajul de commit spunea: elimină scriptul rum de debugbear. Build-ul era datat 29 octombrie la 1:59 ET. Acesta era chiar înainte ca Polymarket să anunțe public incidentul.

BleepingComputer a analizat o copie a fișierului JavaScript malițios. Scriptul era conceput să preia sesiunile de tranzacționare autentificate pe Polymarket.

A lichidat pozițiile de piață de predicții ale utilizatorilor. A transferat cripto și alte active către un portofel controlat de atacator.

Malware-ul verifică dacă vizitatorul este autentificat pe Polymarket.

Încearcă să folosească sesiunea de tranzacționare existentă. Folosește funcționalitatea de tranzacționare a platformei pentru a executa tranzacții neautorizate. Apoi verifică soldurile de cripto și pozițiile de piață de predicții ale utilizatorilor.

Determină valoarea deținerilor lor.

În funcție de modul în care utilizatorul s-a autentificat, malware-ul fure active diferit. Pentru unii utilizatori, vinde automat pozițiile lor de piață de predicții.

Pentru alții, transferă direct token-urile de piață de predicții către un portofel controlat de atacator. Malware-ul încearcă de asemenea să convertează deținerile de cripto ale utilizatorilor în active transferabile. Folosește funcțiile de tranzacționare existente ale Polymarket.

Scriptul comunica cu un server remote pentru a primi instrucțiuni. Trimitea date despre conturile țintuite, adresele de portofel, soldurile și rezultatele tranzacțiilor. Faptul că infrastructura terță a fost folosită pentru a distribui scriptul ridică întrebări despre accesul atacatorului. A fost folosit de asemenea ca server de comenzi și control. A servit ca punct de exfiltrare a datelor. Acesta evidențiază riscurile dependenței de unelte de monitorizare externe.