แฮกเกอร์กวาดเงิน 2.73 ล้านดอลลาร์จาก 737 บัญชี Polymarket ในหนึ่งชั่วโมง

การสอบสวนบล็อกเชนล่าสุดพบว่า แฮกเกอร์โอนเงินราว 2.73 ล้านดอลลาร์ออกจาก 737 บัญชีผู้ใช้ของ Polymarket ภายในหนึ่งชั่วโมงเมื่อวันที่ 29 ต.ค. โดยมีการติดตามธุรกรรมถอนเงินที่ไม่ได้รับอนุญาตเกือบ 1,000 รายการผ่านโครงสร้างพื้นฐานของแพลตฟอร์มตลาดพยากรณ์แห่งนี้ Bitquery ระบุว่าผู้โจมตีดำเนินการถอนเงิน 985 รายการระหว่าง 17:10 ถึง 18:10 UTC โดยใช้การอนุมัติกระเป๋าเงินที่ถูกต้องแทนการเจาะช่องโหว่ของสัญญาอัจฉริยะ เงินถูกแปลงเป็นโทเคน POL บน Polygon และกระจายไปยังหลายกระเป๋า ก่อนบางส่วนถูกย้ายไป Ethereum Bitquery พบว่าการถอนเงินเป็นชุดถูกส่งผ่านระบบรีเลย์ธุรกรรมทางการของ Polymarket ซึ่งทำหน้าที่ส่งธุรกรรมที่ผู้ใช้อนุมัติโดยไม่ต้องให้เทรดเดอร์จ่ายค่าเครือข่ายเอง การอนุมัติดังกล่าวดูชอบด้วยกฎต่อสมาร์ตวอลเล็ตต้นทาง ในการสุ่มตัวอย่าง 30 รายการ นักวิจัยพบว่าธุรกรรมเกิดขึ้นเพียง 3–7 วินาทีหลังการอนุมัติถูกสร้างขึ้น บ่งชี้ว่าเป็นกิจกรรมอัตโนมัติ บัญชีที่เสียหายหนักที่สุดสูญประมาณ 358,000 ดอลลาร์ ขณะที่สี่บัญชีคิดเป็น 43% ของเงินที่ถูกขโมยทั้งหมด ส่วน 276 บัญชีสูญน้อยกว่า 100 ดอลลาร์ต่อบัญชี รูปแบบการโจมตีคล้ายเหตุละเมิดความปลอดภัยเมื่อเดือน มิ.ย. ที่ทำให้สูญเสียราว 2.94 ล้านดอลลาร์ในอย่างน้อย 11 กระเป๋า เหตุการณ์นั้นยังเกี่ยวข้องกับโค้ดอันตรายที่ถูกนำเข้าผ่าน dependency บุคคลที่สามซึ่งถูกเจาะ Polymarket เคยเผชิญการบุกรุกบัญชีที่เชื่อมโยงกับผู้ให้บริการยืนยันตัวตนภายนอก สะท้อนว่าบริการที่เชื่อมต่อแพลตฟอร์มอาจตกเป็นเป้าได้แม้สัญญาบล็อกเชนหลักยังทำงานปกติ นักสืบตามรอยเงินที่ถูกขโมยข้าม Polygon และ Ethereum โดยระบุที่อยู่ที่ผู้โจมตีควบคุมได้รับ POL ประมาณ 28.64 ล้านโทเคนก่อนกระจายไปยังกระเป๋าที่สร้างใหม่สามแห่ง เงินบางส่วนถูกย้ายต่อไปยัง Ethereum ผ่าน Relay, deBridge และบริดจ์เนทีฟของ Polygon ณ เวลาตัดข้อมูล 19:49 UTC ของการสอบสวน เงินราว 2.17 ล้านดอลลาร์ยังอยู่ในกระเป๋า Polygon สามแห่ง ขณะที่กระเป๋า Ethereum อีกแห่งถือ 126.10 ETH ผู้โจมตียังโอนสถานะในตลาดพยากรณ์จาก 33 บัญชี และสร้างบัญชี Polymarket ใหม่เพื่อขายหุ้นที่ขโมยมาบางส่วน จุดที่น่าสังเกตคือการตอบสนองของ Polymarket Bitquery พบการถอนเงินอีก 10.99 ดอลลาร์เมื่อ 19:11 UTC หรือราว 38 นาทีหลังจากบริษัทแจ้งว่าแก้ไขปัญหาแล้ว ธุรกรรมดังกล่าวไม่ได้ยืนยันว่าช่องโหว่ยังถูกใช้ประโยชน์ได้โดยทั่วไป แต่ตั้งคำถามต่อจังหวะเวลาของการแก้ไข รายงานเหตุการณ์ทางการของ Polymarket ยืนยันว่าผู้โจมตีเปลี่ยนสคริปต์เว็บไซต์ของบุคคลที่สามเป็นโค้ดอันตรายที่มุ่งเป้าผู้ใช้ที่เปิดแพลตฟอร์มอยู่ บริษัทถอดสคริปต์ ล้างแคช รีเซ็ตเซสชันที่ใช้งาน และระงับการซื้อขายชั่วคราว ต่อมาบริษัทรายงานว่ากระเป๋าที่ได้รับผลกระทบ 95% ได้รับเงินคืนเต็มจำนวน และการชดเชยรวมจะอยู่ที่ 3.9 ล้านดอลลาร์ เหตุละเมิดครั้งนี้เพิ่มความกังวลด้านความปลอดภัยอีกชั้นให้กับภาคตลาดพยากรณ์ที่กำลังถูกตรวจสอบเรื่องความสมบูรณ์ของตลาดและการจัดการข้อมูลการซื้อขายที่ละเอียดอ่อน นอกจากนี้ยังสะท้อนความเสี่ยงที่กว้างขึ้นของแอปการเงินแบบกระจายศูนย์ แม้สัญญาบล็อกเชนจะทำงานถูกต้อง แต่ซอฟต์แวร์ภายนอกที่ถูกเจาะก็ยังสามารถอนุมัติธุรกรรมที่สร้างความเสียหายได้ ความกังวลด้านความปลอดภัยก่อนหน้านี้ของ Polymarket เน้นย้ำถึงความสำคัญของการแยกแยะระหว่างการถูกเจาะโครงสร้างพื้นฐานจริงกับภัยคุกคามอื่นที่มีการรายงาน