Polymarket возместит пользователям $2,7 млн после подмены скрипта DebugBear
Вредоносный код, загруженный на сайт Polymarket через скомпрометированный DNS DebugBear, совершал операции от имени авторизованных пользователей. Платформа сообщила о 726 затронутых кошельках и обещала вернуть в общей сложности $3,9 млн.
Маркетплейс прогнозов Polymarket начал возмещать потери пользователям, пострадавшим от подмены стороннего скрипта мониторинга производительности DebugBear. По данным The Hacker News, 29 октября злоумышленники продали позиции части авторизованных трейдеров и перевели средства на контролируемые ими адреса.
Polymarket сообщила, что вернёт около $2,7 млн владельцам 726 кошельков, непосредственно затронутых инцидентом. Ещё $1,19 млн получат примерно 5,5 тыс. кошельков, понёсших убытки во время приостановки торгов либо из-за изъятия позиций. Общая сумма выплат составляет $3,9 млн; подавать заявку на компенсацию не требуется. На 30 октября, как пишет издание, полностью возместили средства по 689 кошелькам, а оставшиеся 37 случаев продолжали проверять.
Подменён был скрипт DebugBear для мониторинга реальной производительности сайта. Компания DebugBear заявила в X, что DNS-записи её домена были скомпрометированы через регистратора. По предварительной оценке компании, атака была направлена на сайт одного клиента; признаков проникновения во внутренние системы DebugBear она не обнаружила, хотя расследование продолжается.
Исследователи Hudson Rock, изучившие файл, сообщили, что код использовал уже открытую сессию пользователя на странице Polymarket. Он искал компоненты сайта, отвечающие за размещение ордеров и подписание операций. Для пользователей, входивших через криптокошелёк, вредоносный код переводил позиции на адрес злоумышленников; при входе по электронной почте он, по данным исследователей, продавал позиции по всё менее выгодным ценам и выводил полученные средства.
Blockchain-анализ, на который ссылается The Hacker News, показывает, что за период примерно с 17:10 до 18:02 UTC атакующий адрес получил 28,6 млн токенов POL и позиции с 33 кошельков. На 18:19 UTC одни только эти токены оценивались примерно в $2,64 млн; стоимость переведённых позиций в эту оценку не входила. Позднее токены были распределены между тремя адресами.
Polymarket сообщила о несанкционированной активности в кошельках в 17:38 UTC. Затем площадка перевела биржу в режим, допускающий только отмену заявок, остановила действия релеера, очистила кэши, сбросила активные сессии и временно приостановила торги. Компания также заявила, что передала материалы правоохранительным органам.
DebugBear рекомендовала клиентам удалить код её RUM-инструмента с сайтов. Polymarket, со своей стороны, намерена возвращать сторонние скрипты с дополнительными мерами контроля — более строгой Content Security Policy, фиксацией версий и изоляцией кода в песочнице.