Polymarket компенсирует пользователям украденные после взлома сайта $3 млн

Команда Polymarket подтвердила, что возместит средства пользователям, пострадавшим от взлома сайта, в результате которого было потеряно около $3 млн в цифровых активах. Злоумышленникам удалось взломать одного из сторонних поставщиков услуг платформы, а затем хакеры добавили вредоносный код, нацеленный на кошельки пользователей.

Заявляется, что проблема была быстро локализована, однако эта атака стала вторым инцидентом с безопасностью Polymarket менее чем за два месяца. Это говорит о том, что угрозы существуют за пределами основной инфраструктуры рынка прогнозов.

Анализ блокчейна показал, что в результате атаки пострадало менее 15 учётных записей. Основные потери пришлись на pUSD, стейблкоин Polymarket, обеспеченный USDC. После вывода средств злоумышленники обменяли большую часть украденных pUSD на Ethereum.

В компании заявили, что уязвимость устранена и удалена с сайта. Также подтверждалось, что каждый пострадавший пользователь получит полный возврат убытков, связанных с эксплойтом. Однако Polymarket не назвала стороннего поставщика, участвовавшего во взломе, и отказалась от дальнейших комментариев.

Уязвимость на веб-сайте произошла после другого инцидента, о котором Polymarket сообщила в прошлом месяце. Тогда административный кошелёк, используемый для вознаграждений сотрудников, был скомпрометирован из-за раскрытия публичного ключа.

Первоначальные оценки убытков составляли примерно $520,000, но последующее изучение блокчейна увеличило сумму потерь до $700,000. Разработчик Джош Стивенс написал, что скомпрометированный ключ использовался в течение 6 лет, прежде чем был раскрыт из-за внутренней проблемы с конфигурацией. Тогда к компании сменили учётные данные и перешла на сервисы управления ключами.