Tin tặc rút 2,73 triệu USD khỏi 737 tài khoản Polymarket trong một giờ

Một vụ tấn công có phối hợp nhắm vào Polymarket đã rút khoảng 2,73 triệu USD khỏi 737 tài khoản người dùng chỉ trong một giờ ngày 29/10, theo một cuộc điều tra chuỗi khối mới lần theo gần 1.000 lệnh rút trái phép xuyên qua chính hạ tầng của thị trường dự đoán này. Điều tra của Bitquery cho thấy kẻ tấn công thực hiện 985 lệnh rút từ 17:10 đến 18:10 UTC, dùng các phê duyệt ví hợp lệ thay vì khai thác lỗ hổng hợp đồng thông minh. Số tiền được đổi sang token POL của Polygon và phân tán qua nhiều ví; một phần sau đó được chuyển sang Ethereum. Bitquery xác định chuỗi lệnh rút tự động được định tuyến qua dịch vụ chuyển tiếp giao dịch chính thức của Polymarket, vốn gửi các giao dịch do người dùng ủy quyền mà không buộc nhà giao dịch trả trực tiếp phí mạng. Các phê duyệt trông hợp lệ với ví thông minh bên dưới. Trong mẫu 30 lệnh rút, giao dịch được thực thi chỉ 3–7 giây sau khi phê duyệt được tạo, dấu hiệu của hoạt động tự động. Tài khoản lỗ lớn nhất mất khoảng 358.000 USD. Bốn tài khoản chiếm 43% tổng số tiền bị đánh cắp, trong khi 276 tài khoản mất dưới 100 USD mỗi tài khoản. Vụ việc giống một sự cố bảo mật hồi tháng 6 gây thiệt hại khoảng 2,94 triệu USD trên ít nhất 11 ví; sự cố đó cũng liên quan mã độc xâm nhập qua một phụ thuộc bên thứ ba bị xâm phạm. Polymarket từng bị xâm nhập tài khoản qua nhà cung cấp xác thực bên ngoài, cho thấy dịch vụ kết nối với nền tảng có thể thành mục tiêu ngay cả khi hợp đồng blockchain bên dưới vẫn nguyên vẹn. Các nhà điều tra xác định một địa chỉ do kẻ tấn công kiểm soát nhận khoảng 28,64 triệu POL trước khi token được chia sang ba ví mới tạo. Một phần tiền sau đó được chuyển sang Ethereum qua Relay, deBridge và cầu nối gốc của Polygon. Tại mốc 19:49 UTC, khoảng 2,17 triệu USD vẫn nằm trong ba ví Polygon, còn một ví Ethereum được xác định khác giữ 126,10 ETH. Kẻ tấn công cũng chuyển vị thế dự đoán từ 33 tài khoản và lập tài khoản Polymarket mới để bán một phần số cổ phần bị đánh cắp. Một phát hiện đáng chú ý liên quan phản ứng của Polymarket. Bitquery ghi nhận thêm một lệnh rút 10,99 USD lúc 19:11 UTC, khoảng 38 phút sau khi công ty cho biết đã khắc phục sự cố. Giao dịch này không đủ chứng minh lỗ hổng vẫn có thể bị khai thác trên diện rộng; nó đặt câu hỏi về thời điểm khắc phục. Báo cáo sự cố chính thức của Polymarket xác nhận kẻ tấn công đã thay một đoạn script trên website bên thứ ba bằng mã độc nhắm vào người dùng đang mở nền tảng. Công ty đã gỡ script, xóa bộ nhớ đệm, đặt lại phiên hoạt động và tạm ngừng giao dịch. Sau đó, công ty báo cáo 95% ví bị ảnh hưởng đã được hoàn trả đầy đủ và tổng tiền bồi hoàn sẽ đạt 3,9 triệu USD. Vụ xâm nhập làm gia tăng lo ngại về bảo mật cho lĩnh vực thị trường dự đoán vốn đã chịu giám sát về tính toàn vẹn thị trường và việc xử lý thông tin giao dịch nhạy cảm. Nó cũng cho thấy rủi ro rộng hơn đối với ứng dụng tài chính phi tập trung: ngay cả khi hợp đồng blockchain hoạt động đúng, phần mềm bên ngoài bị xâm phạm vẫn có thể phê duyệt các giao dịch gây thiệt hại. Các lo ngại bảo mật trước đây xung quanh Polymarket đã nhấn mạnh tầm quan trọng của việc phân biệt một vụ xâm phạm hạ tầng thực sự với các mối đe dọa được báo cáo khác.