Polymarket подтверждает, что хакеры похитили у пользователей 3 миллиона долларов в результате взлома сторонней системы

• Основные выводы:

• Polymarket сообщила, что хакеры похитили около 3 миллионов долларов у более чем 11 пользователей через скомпрометированного стороннего поставщика.
• Компания Peckshield установила, что эксплойт был связан со вредоносным кодом интерфейса, который с помощью фишинга заставлял пользователей утверждать мошеннические транзакции.
• Polymarket заявила, что полностью возмещает ущерб пострадавшим, поскольку рынки прогнозов сталкиваются с растущим вниманием со стороны органов безопасности и регулирующих органов.

Атака на цепочку поставок, а не прямой взлом

Polymarket сообщила, что взлом одного из внешних поставщиков позволил злоумышленникам внедрить вредоносный код в интерфейс для некоторых пользователей. Подделанный скрипт лежал в основе фишинговой кампании, в ходе которой жертв обманом заставляли утверждать мошеннические транзакции, в результате чего средства были выведены из их подключенных кошельков.

«Мы локализовали инцидент», — заявила Polymarket, добавив, что удалила затронутую зависимость и «возмещает ущерб в полном объеме». Компания подчеркнула, что ее собственная основная инфраструктура и рынки на блокчейне не были взломаны, а слабым звеном стал сторонний поставщик, чей код предоставлялся через веб-сайт Polymarket.

Компания Peckshield, специализирующаяся на безопасности блокчейнов, оценила убытки примерно в 3 миллиона долларов, похищенных у более чем 11 жертв. Кроме того, эта атака представляла собой классический случай компрометации цепочки поставок, при котором злоумышленники нацеливаются на доверенного поставщика, чтобы получить доступ к более крупной платформе, вместо того чтобы атаковать системы этой платформы напрямую.

Поскольку вредоносный код находился в интерфейсе веб-сайта, а не в лежащих в его основе смарт-контрактах, уязвимость затронула тот уровень, с которым фактически взаимодействуют большинство пользователей. Посетителям, загрузившим скомпрометированную страницу, предлагалось подписать транзакции, которые выглядели законными, но на самом деле передавали контроль над их активами злоумышленникам.

В итоге средства, заблокированные на ончейн-рынках Polymarket, никогда не подвергались непосредственному риску, однако у пользователей, утвердивших поддельные транзакции, кошельки были опустошены.

Что будет дальше

Polymarket сообщила, что связывается с пострадавшими индивидуально и оперативно оформляет возмещения, беря на себя расходы, связанные с утечкой, которая произошла за пределами компании (этот шаг, вероятно, направлен на сохранение доверия среди быстрорастущей базы пользователей).

Кроме того, утечка произошла в момент бурного роста рынков прогнозов: Polymarket и его конкурент Kalshi вместе обеспечили рекордный апрель. Только Polymarket на сегодняшний день обработал более 100 миллионов сделок, что делает его одной из самых активных площадок в криптовалютной сфере.

Масштабы этого роста не остались незамеченными наблюдателями, в результате чего платформа недавно внедрила инструменты мониторинга Chainalysis для контроля целостности рынка. Параллельно с этим американские законодатели изучают рынки прогнозов с точки зрения мер защиты от инсайдерской торговли; в частности, один из законопроектов, представленный республиканцами, направлен на то, чтобы запретить членам Конгресса и их семьям делать ставки на результаты политических решений.

Инцидент, произошедший в июне, добавляет к этому списку проблем вопрос операционной безопасности. И хотя обещание вернуть средства может ограничить ущерб репутации, реальность такова, что рынки прогнозов, во многом как и биржи и протоколы DeFi, в настоящее время рассматриваются как прибыльные цели для искушенных злоумышленников.