مخترقون يستنزفون 2.73 مليون دولار من 737 حساباً على Polymarket خلال ساعة

أبرز النقاط: - سحب مخترقون 2.73 مليون دولار من 737 حساباً على Polymarket. - موافقات محفظة صالحة سمحت بعمليات سحب من دون اختراق العقود الذكية. - أعلنت Polymarket تعويضات وردّ أموال بقيمة 3.9 مليون دولار. كشف تحقيق جديد في سلسلة الكتل أن هجوماً منسقاً على Polymarket سحب نحو 2.73 مليون دولار من 737 حساب مستخدم خلال ساعة واحدة يوم 29 أكتوبر، بعد تتبع ما يقارب 1000 عملية سحب غير مصرح بها عبر البنية التحتية لمنصة أسواق التنبؤ. ووجد تحقيق Bitquery أن المهاجمين نفذوا 985 عملية سحب بين الساعة 17:10 و18:10 بتوقيت UTC، مستخدمين موافقات محفظة صالحة بدلاً من استغلال ثغرة في العقد الذكي. وحُوّلت الأموال إلى رمز POL على شبكة Polygon ووُزعت على محافظ متعددة قبل نقل بعضها نحو Ethereum. ## كيف استُنزفت الحسابات رصدت Bitquery سلسلة عمليات سحب آلية جرى تمريرها عبر مُرحّل المعاملات الرسمي لدى Polymarket، وهو يقدّم معاملات بلوك تشين مصرحاً بها من المستخدم من دون أن يدفع المتداولون رسوم الشبكة مباشرة. وبدت الموافقات شرعية للمحافظ الذكية الأساسية. وفي عينة من 30 عملية سحب، وجد الباحثون أن المعاملات نُفذت بعد ثلاث إلى سبع ثوانٍ فقط من إنشاء موافقاتها، ما يشير إلى نشاط آلي. وبلغت أكبر خسارة لحساب واحد نحو 358 ألف دولار، فيما استحوذت أربعة حسابات على 43% من إجمالي الأموال المسروقة. وخسر 276 حساباً أقل من 100 دولار لكل منها. ويشبه الهجوم اختراقاً أمنياً وقع في يونيو وأسفر عن خسائر بنحو 2.94 مليون دولار في 11 محفظة على الأقل. وتضمن ذلك الحادث أيضاً شيفرة خبيثة أُدخلت عبر تبعية خارجية مخترقة. وكانت Polymarket قد تعرضت في السابق لاختراقات حسابات مرتبطة بمزود مصادقة خارجي، ما يظهر كيف يمكن أن تصبح الخدمات المتصلة بالمنصة أهدافاً حتى مع بقاء عقود البلوك تشين الأساسية سليمة. ## تتبع الأموال بين Polygon وEthereum حدد الباحثون عنواناً يسيطر عليه المهاجم تلقى نحو 28.64 مليون POL قبل توزيع الرموز على ثلاث محافظ جديدة. وانتقلت بعض الأموال لاحقاً نحو Ethereum عبر Relay وdeBridge وجسر Polygon الأصلي. وعند نقطة قطع التحقيق الساعة 19:49 بتوقيت UTC، كان نحو 2.17 مليون دولار لا يزال في ثلاث محافظ على Polygon، فيما احتوت محفظة أخرى محددة على Ethereum على 126.10 ETH. كما نقل المهاجم مراكز في أسواق التنبؤ من 33 حساباً، وأنشأ حساباً جديداً على Polymarket لبيع بعض الأسهم المسروقة. وتعلق أحد النتائج غير المعتادة باستجابة Polymarket. فقد رصدت Bitquery عملية سحب أخرى بقيمة 10.99 دولار عند الساعة 19:11 بتوقيت UTC، أي بعد نحو 38 دقيقة من إعلان الشركة أنها عالجت المشكلة. ولا تثبت تلك المعاملة أن الثغرة ظلت قابلة للاستغلال على نطاق واسع، لكنها تثير تساؤلات حول توقيت المعالجة. ## تعويضات بقيمة 3.9 مليون دولار أكد تقرير الحادث الرسمي الصادر عن Polymarket أن مهاجماً استبدل شيفرة موقع خارجي بشيفرة خبيثة تستهدف المستخدمين الذين كانت المنصة مفتوحة لديهم. وأزالت الشركة الشيفرة، ومسحت ذاكرات التخزين المؤقت، وأعادت تعيين الجلسات النشطة، وعلقت التداول مؤقتاً. وأفادت لاحقاً بأن 95% من المحافظ المتأثرة استُردت أموالها بالكامل، وبأن إجمالي التعويضات سيصل إلى 3.9 مليون دولار. ويضيف الاختراق مصدر قلق أمني آخر لقطاع أسواق التنبؤ الذي يواجه بالفعل تدقيقاً بشأن نزاهة السوق والتعامل مع معلومات التداول الحساسة. ويكشف أيضاً خطراً أوسع لدى تطبيقات التمويل اللامركزي: حتى عندما تعمل عقود البلوك تشين بشكل صحيح، يمكن لبرمجيات خارجية مخترقة أن تصدر معاملات ضارة. وأبرزت مخاوف أمنية سابقة حول Polymarket أهمية التمييز بين اختراقات البنية التحتية الحقيقية وغيرها من التهديدات المبلغ عنها.