Polymarket'te tedarikçi kaynaklı ihlal: enjekte edilen komut dosyası kullanıcı cüzdanlarından yaklaşık 2,7 milyon dolar çekti
Polymarket, kripto tahmin piyasası, güvenlik ihlaline uğrayan bir üçüncü taraf tedarikçi aracılığıyla enjekte edilen kötü amaçlı komut dosyası kullanıcı cüzdanlarından fon çekmeye başladıktan sonra işlemleri kısa süreliğine durdurdu. Bubblemaps'in zincir üstü izlemesi kayıpları yaklaşık 700 kullanıcıda 2,7 milyon dolar dolayında gösteriyor; şirket bu rakamları doğrulamadı. İşlemler bu arada yeniden başladı ve Polymarket etkilenen kullanıcılara iade yapılacağını söylüyor.
Güvenilir ön yüz düşman hâline geldi
Wall Street Journal kaynaklarına ve blokzincir güvenliği araştırmacılarına atıf yapan haberlere göre, web sitesi performans izleme hizmeti sunan bir tedarikçinin sunduğu komut dosyası, oturum açmış ve aktif işlem yapan ziyaretçileri ayıklamak üzere değiştirildi. Hudson Rock araştırmacıları kodun, varlıkları tasfiye edip elde edilen tutarı komut dosyasına gömülü, saldırgan kontrolündeki bir adrese göndermek için tasarlandığını söyledi. Journal'ın aktardığı bir yetkili DebugBear'ı, web sitesi performans izleme alanında faaliyet gösteren Birleşik Krallık merkezli bir şirketi ilgili tedarikçi olarak adlandırdı; şirket bir güvenlik olayından etkilendiğini belirtti ve müşterilerinden gömülü kodunu kaldırmalarını istedi. Bu atıf, doğrulanmış bir bulgu değil, raporlanmış bir şüphe olmaya devam ediyor; gerçi Polymarket kendi sitesinin ihlal edilmediğini söyledi. Çekim işleminin kendisini Bubblemaps haritalandırdı; şirketin analistleri, akış kesilmeden önce yaklaşık 712 para yatırma cüzdanından 2,7 milyon dolar dolayında fon çekildiğini tahmin ediyor. Çalınan fonlar Polygon'un yerel tokeni POL'a çevrildi ve bir adres zinciri boyunca dağıtıldı. Polymarket izleme rakamlarını doğrulamadı; aynı zincir üstü çalışma, kişisel olarak 800 bin dolar kaybettiği yönünde yaygın biçimde paylaşılan bir iddianın da tutmadığını ortaya koydu, çünkü o cüzdanın çekim deseni diğer mağdurlardan farklıydı.“Bunu telafi edeceğiz ve etkilenen tüm yatırımcılara tam iade yapıyoruz.”Bu söz, borsa olayı aşama aşama yönetirken geldi: önce açık emirlerin iptal edilebildiği ama yeni emir verilemediği yalnızca iptal modu, ardından işlem gönderme servisinin askıya alınması ve son olarak işlemlerin tamamen yeniden başlatılması. Polymarket konuyu tedarikçinin merkezinin bulunduğu Birleşik Krallık kolluk kuvvetlerine havale etti ve ayrı düzenlemeye tabi Amerikan platformu Polymarket US'in etkilenmediğini söyledi.
Yılın ikinci tedarikçi kaynaklı ihlali
Polymarket için bu, 2026'da kendi altyapısından değil bir tedarikçiden kaynaklanan ikinci ihlal. Haziranda şirket, bir üçüncü taraf tedarikçinin ihlal edildiğini ve bazı kullanıcılar için ön yüze kötü amaçlı bir komut dosyası enjekte edildiğini açıklamıştı. Çalınan PUSD, Polymarket'in mutabakat tokeni, köprü aracılığıyla Polygon'dan Ethereum'a aktarıldı ve yaklaşık 1.893 ETH'ye çevrildi; ele geçen tutarın 2,94 milyon dolar olduğu tahmin ediliyor. O dönemki çekim çok daha küçük bir grubu, on bir ile on beş arası hesabı etkiledi ama aynı mantığı izledi: güvenilir bir kanaldan gelen ve kullanıcıların şüphe duymaya hiç gerek duymadığı bir sitenin sayfaları içinde çalışan kod. Mayıs ayında, ele geçirilen bir özel anahtar aracılığıyla şirket içi yükleme cüzdanından yaklaşık 700 bin doların çekildiği bir olay bu tedarikçi düzeninin dışında kalıyor. Yine de aynı yöne işaret ediyor: bir işlem platformunda kullanıcı fonlarının güvenliği, platformun kendi sınırlarının çok ötesine uzanıyor.Ön yüze yönelik tedarik zinciri saldırıları neden bu kadar işliyor
Yıllara dayanan geçmişi olan meşru bir alan adı, biri fark etmeden saatlerce düşman kodu sunabilir ve hiçbir kimlik avı uyarısı tetiklenmez, çünkü sayfada sahte olan hiçbir şey yoktur. Kilit simgesi, yer imi, adresin doğru yazımı hâlâ “bana güven” diyor. Polymarket'in iki olayı da tam da bu güveni saldırı yüzeyi olarak kullandı; bu sınıfı sıradan kimlik avından ayıran ve o anda fark edilmesini zorlaştıran da budur.- Tarayıcıya bağlı hot walletlarda yalnızca küçük bakiyeler tutun ve bunları birikim değil harçlık olarak görün.
- İşlemleri imzalamadan önce simüle eden ve beklenmedik onayları işaretleyen donanım cüzdanlarını veya cüzdan güvenlik katmanlarını tercih edin.
- Yürürlükteki token onaylarını düzenli olarak gözden geçirin ve artık gerekmeyenleri iptal edin.
- Bir platform ön yüz ya da tedarikçi ihlali duyurduğunda oturumu kapatın, diğer oturumları sonlandırın ve olay penceresinde imzalanan her şeyi yeniden kontrol edilmesi gerekenler arasında sayın.