Хакеры похитили $2,73 млн с 737 аккаунтов Polymarket за час

Главное: - Хакеры вывели $2,73 млн с 737 аккаунтов Polymarket. - Злоумышленники использовали действительные одобрения кошельков, а не уязвимость смарт-контрактов. - Polymarket объявила о возвратах средств и компенсациях на $3,9 млн. Скоординированная атака на Polymarket 29 октября опустошила 737 пользовательских аккаунтов примерно на $2,73 млн в течение часа. По данным нового блокчейн-расследования Bitquery, почти 1000 несанкционированных списаний прошли через собственную инфраструктуру прогнозного рынка. С 17:10 до 18:10 UTC злоумышленники провели 985 выводов, используя действительные одобрения кошельков, а не эксплуатируя уязвимость смарт-контракта. Средства конвертировали в токен POL сети Polygon и распределили по нескольким кошелькам; часть затем направили в Ethereum. Как опустошали аккаунты Bitquery выявила серию автоматизированных выводов через официальный ретранслятор транзакций Polymarket, который отправляет авторизованные пользователем блокчейн-транзакции без необходимости для трейдеров напрямую оплачивать сетевые комиссии. Для базовых смарт-кошельков эти одобрения выглядели легитимными. В выборке из 30 выводов транзакции исполнялись всего через три–семь секунд после создания одобрений, что указывает на автоматизированную активность. Самый крупный убыток одного аккаунта составил около $358 тыс.; на четыре аккаунта пришлось 43% всей похищенной суммы. Еще 276 аккаунтов потеряли менее $100 каждый. Атака напоминает июньский взлом: тогда убытки составили около $2,94 млн, затронуто как минимум 11 кошельков. В том инциденте также фигурировал вредоносный код, внедренный через скомпрометированную стороннюю зависимость. Ранее Polymarket уже сталкивалась со взломами аккаунтов, связанными с внешним поставщиком аутентификации. Это показывает, как сервисы, подключенные к платформе, могут становиться целями, даже если базовые блокчейн-контракты не затронуты. Следователи проследили средства в Polygon и Ethereum Исследователи выявили адрес, контролируемый атакующим, который получил около 28,64 млн POL, после чего токены распределили по трем новым кошелькам. Часть средств затем направили в Ethereum через Relay, deBridge и нативный мост Polygon. На момент фиксации в 19:49 UTC около $2,17 млн оставались в трех кошельках Polygon, а еще один идентифицированный кошелек Ethereum держал 126,10 ETH. Атакующий также перевел позиции прогнозного рынка с 33 аккаунтов и создал новый аккаунт Polymarket, чтобы продать часть украденных долей. Одна необычная деталь касается реакции Polymarket. Bitquery обнаружила еще одно списание на $10,99 в 19:11 UTC — примерно через 38 минут после того, как компания заявила об устранении проблемы. Эта транзакция не доказывает, что уязвимость оставалась доступной для широкой эксплуатации, но ставит вопросы к срокам исправления. Polymarket объявила о компенсациях на $3,9 млн Официальный отчет Polymarket об инциденте подтвердил: атакующий заменил скрипт стороннего сайта вредоносным кодом, нацеленным на пользователей, у которых платформа была открыта. Компания удалила скрипт, очистила кэши, сбросила активные сессии и временно приостановила торги. Позже она сообщила, что 95% затронутых кошельков получили полное возмещение, а общий объем компенсаций достигнет $3,9 млн. Взлом создает для сектора прогнозных рынков еще одну проблему безопасности: он уже находится под пристальным вниманием из-за вопросов к целостности рынка и обращению с чувствительной торговой информацией. Инцидент также показывает более широкий риск для децентрализованных финансовых приложений: даже при корректной работе блокчейн-контрактов скомпрометированное внешнее ПО может авторизовать опасные транзакции. Прежние проблемы с безопасностью вокруг Polymarket показали, насколько важно отличать реальные компрометации инфраструктуры от других заявленных угроз.