Взлом Polymarket: около $2,7 млн украдены через скрипт подрядчика
Polymarket приостановил торги 29 октября: вредоносный код в стороннем скрипте мониторинга вывел около $2,7 млн примерно с 700 пользовательских счетов.
SECURITY & HACKSNEWS
Lukas Brenner
10/30/20261 мин чтение
Рынок предсказаний Polymarket 29 октября ненадолго остановил торги на международной платформе после того, как злоумышленники через скомпрометированный сторонний скрипт вывели с пользовательских счетов около $2,7 млн. По оценке аналитической компании Bitquery, несанкционированные выводы составили примерно $2,73 млн с 737 аккаунтов; другие исследователи насчитали около 700 пострадавших кошельков.
Согласно хронологии Bitquery, выводы шли примерно с 17:10 до 18:10 UTC. Около 18:05 UTC Polymarket перевел международную биржу в режим «только отмена» и приостановил работу релеера, вскоре сообщил, что нашел и устранил проблему, а примерно в 19:05 UTC возобновил торги. Уже после объявления об исправлении Bitquery зафиксировала еще один несанкционированный вывод.
Уязвимость у подрядчика, а не в контракте
Вредоносный код попал на сайт не через смарт-контракты, а через встроенные инструменты веб-мониторинга. Исследователи связали внедрение с DebugBear — сервисом мониторинга производительности сайтов, который сам сообщил об инциденте и посоветовал клиентам удалить свои скрипты Real User Monitoring. Код обнаружила Hudson Rock, а по данным BleepingComputer, он перехватывал активные сессии, проверял балансы и пытался продавать позиции или переводить активы на кошельки атакующих.
Сам Polymarket в заявлении упомянул лишь взлом стороннего провайдера. Компания пообещала полностью компенсировать убытки пострадавшим и передала дело правоохранительным органам Великобритании, однако сроков выплат, итоговой суммы ущерба и подробного разбора пока нет. Отдельная биржа, регулируемая в США, по имеющимся данным, не пострадала.
Bitquery отследила, что похищенные средства были обменены на POL и распределены по новым адресам, часть переведена в Ethereum через мосты. Аналитики связали около $2,65 млн с одним предполагаемым кошельком злоумышленника.
Это уже второй в этом году инцидент на платформе, связанный с внешним поставщиком: в июне, по имеющимся данным, пользователи потеряли около $3 млн. Атака пришлась на неделю рекордного взлома Binance и показывает, что веб-интерфейсы и внешние скрипты становятся слабым звеном даже там, где ончейн-код остается надежным.
Источник: Bitquery, The Block, BleepingComputer, Altcoin Buzz, Gate News