Хакери вивели $2,73 млн із 737 акаунтів Polymarket за годину

Головне • Хакери вивели $2,73 млн із 737 акаунтів Polymarket. • Зловмисники використовували чинні дозволи гаманців, не зламуючи смарт-контракти. • Polymarket оголосила про $3,9 млн відшкодування та компенсацій. 29 жовтня скоординована атака на Polymarket спустошила 737 користувацьких акаунтів приблизно на $2,73 млн протягом однієї години. Нове блокчейн-розслідування простежило майже 1 000 несанкціонованих виведень через власну інфраструктуру ринку прогнозів. За даними Bitquery, між 17:10 і 18:10 UTC зловмисники здійснили 985 виведень. Вони використовували дійсні дозволи гаманців, а не вразливість смарт-контракту. Кошти конвертували в токен POL мережі Polygon і розподілили між кількома гаманцями; частину згодом переказали в Ethereum. Як виводили кошти з 737 акаунтів Polymarket Bitquery виявила серію автоматизованих виведень, проведених через офіційний релейер транзакцій Polymarket. Він подає санкціоновані користувачами блокчейн-транзакції, не вимагаючи від трейдерів прямої оплати мережевих зборів. Для базових смарт-гаманців дозволи виглядали легітимними. У вибірці з 30 виведень транзакції виконувалися через три-сім секунд після створення дозволів. Це вказує на автоматизовану активність. Найбільший збиток одного акаунта сягнув приблизно $358 000; чотири акаунти припали на 43% усієї викраденої суми. Ще 276 акаунтів втратили менш ніж $100 кожен. Атака нагадує червневий злам, що завдав збитків приблизно на $2,94 млн щонайменше 11 гаманцям. Той інцидент був пов'язаний із шкідливим кодом, доданим через скомпрометовану сторонню залежність. Polymarket раніше стикалася зі зламами акаунтів через зовнішнього постачальника автентифікації. Це показує, як сервіси, підключені до платформи, можуть ставати ціллю, навіть коли її блокчейн-контракти залишаються неушкодженими. Розслідувачі простежили викрадені кошти в Polygon та Ethereum Дослідники виявили контрольовану атакуючими адресу, що отримала приблизно 28,64 млн POL. Далі токени розподілили між трьома новоствореними гаманцями. Частину коштів згодом переказали в Ethereum через Relay, deBridge і нативний міст Polygon. Станом на 19:49 UTC, момент завершення розслідування, приблизно $2,17 млн залишалося в трьох гаманцях Polygon. Ще один ідентифікований гаманець Ethereum утримував 126,10 ETH. Зловмисники перенесли позиції на ринку прогнозів із 33 акаунтів і створили новий акаунт Polymarket, щоб продати частину викрадених часток. Один незвичний момент стосується реакції Polymarket. Bitquery зафіксувала ще одне виведення на $10,99 о 19:11 UTC — приблизно через 38 хвилин після того, як компанія заявила про виправлення проблеми. Ця транзакція не доводить, що вразливість залишалася загальнодоступною для експлуатації, але ставить питання щодо своєчасності виправлення. Polymarket оголосила про $3,9 млн відшкодування Офіційний звіт Polymarket про інцидент підтвердив: атакуючий замінив скрипт стороннього вебсайту на шкідливий код, націлений на користувачів, які мали платформу відкритою. Компанія видалила скрипт, очистила кеші, скинула активні сесії та тимчасово зупинила торгівлю. Згодом вона повідомила, що 95% постраждалих гаманців повністю відшкодовано, а загальна сума виплат сягне $3,9 млн. Злам додає ще один привід для занепокоєння сектору ринків прогнозів, який уже перебуває під пильним наглядом через цілісність ринків і поводження з чутливою торговою інформацією. Він ілюструє ширший ризик для децентралізованих фінансових застосунків: навіть коли блокчейн-контракти працюють коректно, скомпрометоване зовнішнє програмне забезпечення може авторизувати збиткові транзакції. Попередні проблеми безпеки навколо Polymarket підкреслили, наскільки важливо відрізняти справжні компрометації інфраструктури від інших заявлених загроз.