Kompromitacja Polymarket przez dostawcę: wstrzyknięty skrypt wypłukał około 2,7 mln dolarów z portfeli użytkowników
Polymarket, kryptowalutowy rynek predykcji, na krótko wstrzymał handel po tym, jak złośliwy skrypt wprowadzony przez skompromitowanego zewnętrznego dostawcę zaczął wypłukiwać środki z portfeli użytkowników. Monitoring on-chain firmy Bubblemaps szacuje straty na około 2,7 mln dolarów u około 700 użytkowników — liczb, których firma nie potwierdziła. Handel został już wznowiony, a Polymarket deklaruje, że poszkodowani użytkownicy otrzymają zwrot środków.
Zaufany frontend stał się wrogi
Według doniesień powołujących się na źródła Wall Street Journal i badaczy bezpieczeństwa blockchain skrypt serwowany przez dostawcę monitorowania wydajności stron został zmodyfikowany tak, by wypatrywał odwiedzających z aktywną, zalogowaną sesją handlową. Badacze z Hudson Rock powiedzieli, że kod był zaprojektowany do likwidacji pozycji i przekazywania uzyskanych środków na osadzony w skrypcie adres kontrolowany przez atakujących. Urzędnik cytowany przez Journal wskazał DebugBear, brytyjską firmę zajmującą się monitorowaniem wydajności stron jako dostawcę, którego to dotyczyło; firma oświadczyła, że padła ofiarą trwającego incydentu bezpieczeństwa, i wezwała klientów do usunięcia jej kodu do osadzania. To przypisanie pozostaje zgłaszanym podejrzeniem, a nie potwierdzonym ustaleniem, choć Polymarket zadeklarował, że własna strona nie została skompromitowana. Sam wypływ środków namierzyła Bubblemaps, której analitycy oszacowali, że około 2,7 mln dolarów wypłynęło z mniej więcej 712 portfeli depozytowych, zanim przepływ ucięto. Skradzione środki zamieniono na POL, natywny token Polygon, i rozproszono po łańcuchu adresów. Polymarket nie potwierdził liczb z monitoringu, a ta sama praca on-chain wykazała, że szeroko udostępniana relacja o osobistej stracie 800 tysięcy dolarów nie wytrzymała konfrontacji, bo schemat wypłat tego portfela różnił się od pozostałych ofiar.„Zrobimy wszystko, by to naprawić, i w pełni zwracamy środki wszystkim poszkodowanym traderom”.Ta obietnica padła, gdy giełda przechodziła przez incydent etapami: najpierw tryb wyłącznie anulowania, w którym otwarte zlecenia można było wycofać, ale nie można było składać nowych, potem wstrzymanie serwisu przesyłania transakcji i wreszcie pełne przywrócenie handlu. Polymarket przekazał sprawę organom ścigania w Wielkiej Brytanii, gdzie ma siedzibę dostawca, i oświadczył, że Polymarket US, osobno regulowana amerykańska platforma, nie ucierpiała.
Druga kompromitacja od dostawcy w tym roku
Dla Polymarketu to druga kompromitacja w 2026 roku, która wyszła od dostawcy, a nie od własnej infrastruktury. W czerwcu firma ujawniła, że zewnętrzny dostawca został skompromitowany i wstrzyknął złośliwy skrypt do frontendu u części użytkowników. Skradziony PUSD, token rozliczeniowy Polymarketu, przepłynął mostkiem z Polygon na Ethereum i został zamieniony na około 1 893 ETH — łup szacowany na 2,94 mln dolarów. Tamten wypływ dotknął dużo mniejszą grupę, od jedenastu do piętnastu kont, ale logika była ta sama: kod przychodzący zaufanym kanałem i wykonywany wewnątrz stron serwisu, co do którego użytkownicy nie mieli powodów wątpić. Incydent z maja, w którym około 700 tysięcy dolarów wypłynęło z wewnętrznego portfela doładowań przez skompromitowany klucz prywatny, mieści się poza tym schematem dostawcy. Wskazuje jednak ten sam kierunek: bezpieczeństwo środków użytkowników na platformie handlowej wykracza daleko poza jej własny obwód.Dlaczego ataki na łańcuch dostaw frontendu działają tak dobrze
Legalna domena z wieloletnią historią może serwować wrogi kod przez godziny, zanim ktokolwiek to zauważy, i żaden alarm antyphishingowy nie zadziała, bo nic na stronie nie jest podrobione. Kłódka, zakładka, poprawna pisownia adresu wciąż mówią: ufaj mi. Oba incydenty Polymarketu użyły dokładnie tego zaufania jako powierzchni ataku, i to odróżnia tę klasę ataków od zwykłego phishingu i czyni ją trudniejszą do wychwycenia w danym momencie.- Trzymaj w gorących portfelach przeglądarkowych tylko niewielkie kwoty i traktuj je jak kieszonkowe, a nie oszczędności.
- Wybieraj portfele sprzętowe lub zabezpieczenia portfela, które symulują transakcje i oznaczają nieoczekiwane zgody przed ich podpisaniem.
- Okresowo przeglądaj aktywne zgody tokenowe i cofaj te, które nie są już potrzebne.
- Gdy platforma ogłasza kompromitację frontendu lub dostawcy, wyloguj się, zakończ pozostałe sesje i traktuj wszystko podpisane w oknie incydentu jako wymagające ponownego sprawdzenia.