Compromissione di Polymarket tramite un fornitore: uno script iniettato drena circa 2,7 milioni di dollari dai wallet degli utenti
Polymarket, il mercato delle previsioni crypto, ha sospeso brevemente il trading dopo che uno script dannoso introdotto attraverso un fornitore terzo compromesso ha iniziato a drenare fondi dai wallet degli utenti. Il monitoraggio on-chain di Bubblemaps quantifica le perdite in circa 2,7 milioni di dollari su circa 700 utenti, cifre che l'azienda non ha confermato. Il trading è ormai ripreso, e Polymarket dichiara che gli utenti coinvolti saranno rimborsati.
Un frontend affidabile diventato ostile
Secondo servizi che citano fonti del Wall Street Journal e ricercatori di sicurezza blockchain, uno script erogato da un fornitore di monitoraggio delle prestazioni web è stato modificato per individuare i visitatori con una sessione di trading attiva e autenticata. I ricercatori di Hudson Rock hanno detto che il codice era pensato per liquidare gli asset e girare il ricavato a un indirizzo controllato dagli aggressori, incorporato nello script stesso. Un ufficiale citato dal Journal ha indicato DebugBear, un'azienda britannica di monitoraggio delle prestazioni web come fornitore coinvolto; la società ha detto di essere stata colpita da un incidente di sicurezza e ha chiesto ai clienti di rimuovere il proprio codice di incorporazione. Quell'attribuzione resta una sospizione riportata e non un riscontro confermato, anche se Polymarket ha detto che il proprio sito non è stato compromesso. Il drenaggio in sé è stato ricostruito da Bubblemaps, i cui analisti stimano che circa 2,7 milioni di dollari siano stati prelevati da circa 712 wallet di deposito prima che il flusso venisse interrotto. I fondi rubati sono stati convertiti in POL, il token nativo di Polygon, e dispersi lungo una catena di indirizzi. Polymarket non ha confermato le cifre del monitoraggio, e lo stesso lavoro on-chain ha mostrato che un resoconto ampiamente condiviso di una perdita personale di 800 mila dollari non reggeva, perché lo schema di prelievi di quel wallet differiva da quello delle altre vittime.«Rimediaremo al danno e stiamo rimborsando integralmente tutti i trader coinvolti.»La promessa è arrivata mentre la piattaforma gestiva l'incidente a fasi: prima una modalità di sola cancellazione, in cui gli ordini aperti potevano essere ritirati ma non se ne potevano piazzare di nuovi, poi la sospensione del servizio di invio delle transazioni e infine il ripristino completo del trading. Polymarket ha segnalato il caso alle forze dell'ordine del Regno Unito, dove ha sede il fornitore, e ha detto che Polymarket US, la piattaforma americana regolata separatamente, non è stata toccata.
Seconda compromissione di origine esterna dell'anno
Per Polymarket è la seconda compromissione del 2026 a nascere da un fornitore e non dalla propria infrastruttura. A giugno l'azienda ha riferito che un fornitore terzo era stato compromesso, iniettando uno script dannoso nel proprio frontend per alcuni utenti. Il PUSD rubato, il token di regolamento di Polymarket, è stato trasferito tramite bridge da Polygon a Ethereum e convertito in circa 1.893 ETH, un bottino stimato in 2,94 milioni di dollari. Quel drenaggio ha toccato un gruppo molto più ristretto, tra undici e quindici account, ma ha seguito la stessa logica: codice che arriva da un canale fidato e viene eseguito dentro le pagine di un sito di cui gli utenti non avevano motivo di dubitare. Un incidente a maggio, in cui circa 700 mila dollari sono stati drenati da un wallet interno di ricarica tramite una chiave privata compromessa, resta fuori da quello schema legato ai fornitori. Punta comunque nella stessa direzione: la sicurezza dei fondi degli utenti su una piattaforma di trading va ben oltre il perimetro della piattaforma stessa.Perché gli attacchi alla supply chain del frontend funzionano così bene
Un dominio legittimo con anni di storia può servire codice ostile per ore prima che qualcuno se ne accorga, e nessun allarme anti-phishing scatterà, perché nella pagina non c'è nulla di falso. Il lucchetto, il segnalibro, la grafia corretta dell'indirizzo continuano a dire «fidati di me». Entrambi gli incidenti di Polymarket hanno usato proprio quella fiducia come superficie d'attacco, ed è ciò che distingue questa classe di attacchi dal phishing comune e la rende più difficile da notare sul momento.- Mantenete saldi piccoli negli hot wallet collegati al browser e trattateli come spese tascabili, non come risparmi.
- Preferite hardware wallet o protezioni di wallet che simulino le transazioni e segnalino approvazioni inattese prima della firma.
- Rivedete periodicamente le approvazioni token attive e revocate ciò che non serve più.
- Quando una piattaforma annuncia una compromissione del frontend o di un fornitore, uscite, chiudete le altre sessioni e considerate tutto ciò che è stato firmato nella finestra dell'incidente come da ricontrollare.