Polymarket підтвердила в п’ятницю, що компрометація стороннього постачальника дозволила зловмисникам упровадити шкідливий код у фронтенд майданчика та вивести близько $3 млн менш ніж із 15 користувацьких рахунків.

Платформа обіцяє повністю компенсувати втрати всім постраждалим.

Що сталося

Першим на атаку звернув увагу ончейн-дослідник Specter: за його даними, фішингова кампанія спустошила понад 11 гаманців, де зберігався стейблкоїн Polymarket — PUSD. Тоді втрати оцінювали в $2,94 млн. Невдовзі цифру підтвердила PeckShield, зазначивши, що атакувальник перевів украдене з Polygon в Ethereum і конвертував у 1893 ETH.

Майданчик визнав злам через один зі своїх офіційних акаунтів — Polymarket Traders.

«Сьогодні вранці ми виявили, що сторонній постачальник був скомпрометований і впровадив шкідливий скрипт у наш фронтенд для частини користувачів. Ми локалізували проблему та видалили уражену залежність, — ідеться в дописі в X. — Ми зв’язуємося з постраждалими користувачами й повністю відшкодовуємо їм кошти».

Вільям Легейт, який тісно працює з майданчиком, підтвердив інформацію про компенсації, повторивши, що проблему усунуто, а постраждалі отримають гроші в повному обсязі.

Ще один акаунт, присвячений блокчейн-безпеці, GoPlus Security, описав інцидент як атаку на ланцюг постачання: за його оцінкою, шкідливий код зачепив близько 15 рахунків, а втрати становили $3 млн. До такого самого висновку дійшла Bubblemaps, яка відзначила швидку реакцію майданчика після того, як витік вдалося зупинити.

Повторювана проблема

Це не перший удар по Polymarket. Минулого місяця майданчик розкрив інший інцидент: адміністративний гаманець, що використовувався для бонусних виплат співробітникам, втратив близько $700 000 — імовірно, через компрометацію приватного ключа. Спершу аналітик ZachXBT оцінював збитки приблизно в $520 000, згодом Bubblemaps назвала вищу цифру, відстеживши кошти за кількома адресами.

Розробник Джош Стівенс тоді підтвердив, що шестирічний приватний ключ було розкрито через внутрішню конфігурацію, після чого компанія змінила облікові дані й перейшла на сервіси управління ключами. Користувацьких коштів і основних контрактів той випадок не зачепив.

Обидва інциденти, попри різні методи атаки, били по системах поза самими ринками передбачень. Останній припав на момент, коли в майданчика й без того репутаційні складнощі. The Wall Street Journal повідомляла, що Polymarket платила авторам студентського віку від $2000 до $3000 на місяць за ролики з постановочними ставками на фіктивних версіях сайту: жоден із понад 1100 кліпів, за даними видання, не вдалося пов’язати з реальною активністю в блокчейні.

На початку місяця була й інша суперечка: трейдер стверджував, що втратив $500 000 після того, як сервіс нібито змінив правила врегулювання ринку, прив’язаного до продажу біткоїнів компанією Strategy.

Джерело: CryptoPotato