Атака на Polymarket привела к краже $2,73 млн

Хакеры вывели не менее $2,73 млн с 737 счетов пользователей Polymarket 29 октября. Для атаки они использовали взломанную инфраструктуру британской компании DebugBear, которая предоставляет инструменты для мониторинга сайтов. Polymarket пообещала компенсировать потери пострадавшим пользователям.

По данным аналитической компании Bitquery, атака продолжалась около часа — с 17:10 до 18:10 UTC. За это время злоумышленники провели 985 операций через штатную инфраструктуру Polymarket. Для каждого вывода использовалось действующее разрешение пользователя, поэтому смарт-контракты принимали операции за обычные действия владельцев счетов.

На четыре счета пришлось 43% похищенной суммы. Крупнейшее списание составило $358 369. Еще 276 пользователей потеряли менее $100. У 33 пользователей злоумышленники забрали доли в рынках прогнозов. Bitquery не оценила эти активы в долларах, поэтому общий ущерб может быть выше $2,73 млн.

Исследователи Hudson Rock обнаружили вредоносный JavaScript-код, который распространялся через инфраструктуру DebugBear. Вместо анализа производительности сайтов он получал доступ к активным торговым сессиям Polymarket.

Код проверял балансы и открытые позиции пользователей, затем находил в приложении функции для размещения ордеров и подписания транзакций. В зависимости от типа кошелька программа продавала доли в рынках прогнозов или переводила токены на адреса, контролируемые злоумышленниками. Для подтверждения операций использовались механизм подписания EIP-712 и сервис отправки транзакций Relayer.

В изученном образце исследователи не обнаружили отдельного механизма для кражи приватных ключей или сид-фраз. Атака использовала полномочия уже авторизованных пользователей. Как злоумышленники получили доступ к инфраструктуре DebugBear, пока не установлено.

В 18:05 UTC Polymarket перевела платформу в режим отмены заявок и приостановила отправку транзакций. Через 28 минут компания сообщила об обнаружении и устранении проблемы. В 19:05 UTC платформа возобновила торги.

Polymarket передала информацию правоохранительным органам и пообещала полностью компенсировать потери пострадавшим. После восстановления работы Bitquery обнаружила еще одно подозрительное списание на $10,99 в 19:11 UTC. Оно затронуло ранее пострадавший счет и прошло с использованием нового разрешения на вывод средств. По оценке аналитиков, эта операция не подтверждает продолжение атаки, но указывает на возможные проблемы с устранением ее последствий.

Злоумышленник в основном обменивал похищенные активы на токены POL, а затем распределил их между тремя новыми кошельками. Часть средств он перевел из сети Polygon в Ethereum через Relay, deBridge и штатный мост Polygon.

В июне взлом Polymarket через стороннего подрядчика уже привел к краже около $3 млн. Тогда вредоносный код внедрили в пользовательский интерфейс платформы, а с менее чем 15 счетов похитили около $3 млн. Компания также пообещала возместить ущерб.