Polymarket приостановил торги после взлома фронтенда: пользователи теряют средства
Prediction-рынок Polymarket приостановил торговлю после сообщений пользователей о выводе средств со счетов без их разрешения. Биржа работает только на отмену ордеров, а фронтенд, по данным исследователей, мог быть скомпрометирован.
Главное в цифрах
- Заявленный ущерб трейдера CarOnPolymarket: $800 000
- Ущерб знакомого трейдера: около $600 000
- Средства на подозрительном кошельке по данным Arkham: около $2,65 млн в POL
- Инцидент в мае: около $700 000
- Инцидент в июне: около $3 млн, менее 15 аккаунтов
Polymarket перевёл биржу в режим отмены ордеров: API торговли находится в серьёзном сбое, новые ордера не принимаются, а relayer-операции, которые отправляют подписанные пользователями транзакции в блокчейн, приостановлены. Пользователи сообщают, что фронтенд платформы мог быть скомпрометирован и средства выводятся без разрешения.
Трейдер под ником CarOnPolymarket написал в X, что его счёт опустошили на $800 000, а его знакомый лишился около $600 000. Он призвал пользователей заблокировать аккаунты и не взаимодействовать с сайтом.
Что известно о механизме атаки
Исследователи Hudson Rock сообщают, что скрипт, загружаемый со стороннего сервиса DebugBear, ищет активную торговую сессию залогиненного пользователя и пытается продать его позиции и перевести активы. Адрес получателя жёстко прописан в скрипте как запасной, а код производственного сайта Polymarket фиксирует удаление этого скрипта. Как именно начался взлом и сколько пользователей пострадало, Hudson Rock пока не установил.
По данным Arkham, на кошельке, который считается принадлежащим злоумышленнику, находится около $2,65 млн в POL. Кошелёк получил несколько свопов USDC.e в POL через сервис кросс-чейн обмена Relay. По данным Arkham, первые транзакции начались примерно за час до публикации, а активность кошелька прекратилась за последние пять минут. Причину инцидента Polymarket пока не назвал.
Предыдущие инциденты
Это не первый случай для Polymarket в этом году. В мае компрометация приватного ключа привела к выводу около $700 000 с внутреннего кошелька для пополнений. Месяцем позже скомпрометированный сторонний подрядчик позволил хакерам внедрить вредоносный код во фронтенд и украсть около $3 млн у менее чем 15 аккаунтов. Тогда Polymarket пообещал вернуть средства пользователям полностью.
