Hackeri au sustras 2,73 milioane de dolari din 737 de conturi Polymarket într-o oră

Un atac coordonat asupra Polymarket a sustras aproximativ 2,73 milioane de dolari din 737 de conturi de utilizatori într-o singură oră, pe 29 octombrie. O investigație blockchain a Bitquery a urmărit aproape 1.000 de retrageri neautorizate efectuate prin infrastructura proprie a platformei de predicții. Anchetatorii au identificat 985 de retrageri între 17:10 și 18:10 UTC. Atacatorii au folosit aprobări valide ale portofelelor, nu au exploatat o vulnerabilitate a contractelor inteligente. Fondurile au fost convertite în tokenul POL al rețelei Polygon și distribuite în mai multe portofele; o parte a fost mutată ulterior spre Ethereum. Bitquery a urmărit retragerile automatizate prin serviciul oficial de retransmitere a tranzacțiilor al Polymarket, care trimite tranzacții autorizate de utilizatori fără ca traderii să plătească direct taxe de rețea. Aprobările păreau legitime pentru portofelele inteligente vizate. Într-un eșantion de 30 de retrageri, tranzacțiile au fost executate la doar trei până la șapte secunde după generarea aprobărilor, ceea ce indică activitate automatizată. Cea mai mare pierdere individuală a ajuns la aproximativ 358.000 de dolari. Patru conturi au concentrat 43% din fondurile sustrase, iar 276 de conturi au pierdut fiecare mai puțin de 100 de dolari. Atacul seamănă cu o breșă de securitate din iunie, care a produs pierderi de aproximativ 2,94 milioane de dolari în cel puțin 11 portofele. Incidentul a implicat și cod malițios introdus printr-o dependență terță compromisă. Polymarket a înregistrat anterior breșe de cont legate de un furnizor extern de autentificare, ceea ce arată că serviciile conectate la platformă pot deveni ținte chiar dacă contractele blockchain rămân intacte. Investigatorii au identificat o adresă controlată de atacator care a primit aproximativ 28,64 milioane de tokenuri POL înainte ca acestea să fie distribuite în trei portofele nou create. O parte din fonduri a fost mutată apoi spre Ethereum prin Relay, deBridge și bridge-ul nativ al rețelei Polygon. La momentul de referință al investigației, 19:49 UTC, aproximativ 2,17 milioane de dolari rămâneau în trei portofele Polygon, iar un alt portofel Ethereum identificat deținea 126,10 ETH. Atacatorul a transferat poziții de pe piața de predicții din 33 de conturi și a creat un cont nou Polymarket pentru a vinde o parte din acțiunile furate. Un element neobișnuit privind reacția companiei: Bitquery a identificat o altă retragere, de 10,99 dolari, la 19:11 UTC, la aproximativ 38 de minute după ce Polymarket a anunțat că a rezolvat problema. Tranzacția nu demonstrează că vulnerabilitatea mai putea fi exploatată pe scară largă, dar ridică semne de întrebare asupra momentului remedierii. Raportul oficial al Polymarket a confirmat că un atacator a înlocuit un script de pe un site terț cu cod malițios care viza utilizatorii ce aveau platforma deschisă. Compania a eliminat scriptul, a golit cache-urile, a resetat sesiunile active și a suspendat temporar tranzacționarea. Ulterior a anunțat că 95% dintre portofelele afectate au fost rambursate integral și că totalul compensațiilor va ajunge la 3,9 milioane de dolari. Breșa adaugă o nouă problemă de securitate pentru sectorul piețelor de predicții, deja supus examinării în privința integrității piețelor și a gestionării informațiilor sensibile de tranzacționare. Ea ilustrează și un risc mai amplu pentru aplicațiile financiare descentralizate: chiar dacă contractele blockchain funcționează corect, software-ul extern compromis poate autoriza în continuare tranzacții păgubitoare. Îngrijorările anterioare legate de securitatea Polymarket au arătat cât de important este să distingi compromisurile reale ale infrastructurii de alte amenințări raportate.