একটি কম্প্রোমাইজড তৃতীয় পক্ষের প্রোভাইডারের কারণে আন্তর্জাতিক প্রেডিকশন মার্কেটটি বিঘ্নিত হওয়ার পর পলিমার্কেট ২৯ অক্টোবর ট্রেডিং পুনরায় শুরু করে। এই ঘটনাটি চার মাসের মধ্যে পলিমার্কেটের দ্বিতীয় বহুমিলিয়ন ডলারের সিকিউরিটি ব্রিচ হিসেবে চিহ্নিত হয়। পলিমার্কেটের অফিসিয়াল ইনসিডেন্ট লগ অনুযায়ী, ট্রেডিং সীমাবদ্ধতার শুরু ১৮:০৫ UTC এবং সমাধান ১৯:০৫ UTC। পলিমার্কেট বলেছে সমস্যাটি সমাধান করা হয়েছে এবং আইনশৃঙ্খলা বাহিনীকে অবহিত করা হয়েছে। পলিমার্কেট আরও প্রতিশ্রুতি দিয়েছে প্রভাবিত ব্যবহারকারীদের জন্য পূর্ণাঙ্গ ক্ষতিপূরণ।
বাবলম্যাপস, একটি ব্লকচেইন বিশ্লেষণ প্রতিষ্ঠান, অক্টোবর ২৯-এর হ্যাকের ফলে বেশিরভাগ ৭০০ জন পলিমার্কেট ব্যবহারকারী প্রভাবিত হয়েছিলেন এবং প্রায় ৩.৪৬ মিলিয়ন ডলারের সম্পদ দখল করা হয়েছিল। আক্রমণকারীরা প্রায় ২.৭ মিলিয়ন ডলার পরিবর্তন করে POL-এর জন্য এবং অর্থগুলি বহির্মুখী করেছিল। মূল্যায়নের সময় আরও ৭৫০,০০০ ডলার পলিমার্কেটে অবশিষ্ট ছিল।
২৫ জুন পলিমার্কেট প্রকাশ করে যে একটি সংক্রমিত ভেন্ডর একটি ক্ষতিকারক স্ক্রিপ্ট ইনজেকশন সক্ষম করেছিল। পলিমার্কেট বলেছে যে প্রভাবিত ডিপেন্ডেন্সি সরিয়ে ফেলা হয়েছে এবং পূর্ণ ফেরতের প্রতিশ্রুতি দিয়েছে। সোর্স ডিফেন্স জানিয়েছে যে জুনের আক্রমণে প্রায় ৩ মিলিয়ন ডলারের ক্ষতি হয়েছে। সোর্স ডিফেন্স এই বিতরণকে একটি মার্কেটিং ট্যাগের সাথে সংযুক্ত করেছে, যা একটি বাহ্যিক পরিচয় লাইব্রেরি ফেচ করত, যা আক্রমণকারী পলিমার্কেটের জন্য একটি ড্রেইনার দিয়ে প্রতিস্থাপন করেছিল। সোর্স ডিফেন্সের গবেষকদের মতে, জুনের পেলোডটি $১০০,০০০-এর বেশি ধারণকারী ওয়ালেটগুলিকে লক্ষ্যবস্তু করেছিল এবং বারবার ডিজিটাল অনুমতির চাওয়া হয়েছিল। একটি অনুমোদিত অনুমতি পলিমার্কেটের রিলেয়ারের মধ্যদিয়ে পাস হয়, যা সইকৃত অ্যাকশনগুলি জমা দেয়।
হাডসন রকের অক্টোবরের বিশ্লেষণে বর্ণনা করা হয়েছে যে, DebugBear-এর সাথে সম্পর্কিত একটি URL থেকে প্রাপ্ত কোডটি লগইন করা সেশনের মধ্যে সক্রিয় ট্রেডিং ক্লায়েন্ট এবং সাইনার খুঁজে বের করার চেষ্টা করেছিল। সাইনারটি হল সেই উপাদান যা ক্রিপ্টোগ্রাফিক অনুমতির অনুরোধ করে। হাডসন রক দেখেছে যে, স্ক্রিপ্টটির প্রোগ্রামড আচরণ অ্যাকাউন্টের ধরনের উপর ভিত্তি করে ভিন্ন ছিল। একটি শাখা অবস্থান টোকেনের ট্রান্সফারের অনুরোধ করেছিল; অন্যটি বিক্রয়ের পরে লাভের ট্রান্সফারের অনুরোধ করেছিল। হাডসন রক DebugBear মনিটরিং স্ক্রিপ্টের সরানোর বিষয়েও উৎপাদন-বিল্ড মেটাডেটা শনাক্ত করেছে। তবে, হাডসন রকের স্ট্যাটিক বিশ্লেষণে প্রমাণিত হয়নি যে, কোডটি বাস্তবায়িত হয়েছিল, চুপচাপভাবে সাইনেচারগুলি প্রাপ্তি ঘটেছিল, বা প্রাইভেট কীগুলি চুরি করা হয়েছিল। বিশ্লেষণটিও শিকারদের থেকে গ্রহণকারীদের দিকে একটি সম্পূর্ণ ট্রেইলও প্রতিষ্ঠা করেনি। সরানোর মেটাডেটা, ব্যবহারকারীদের প্রভাবিতকরণের শেষটি ঠিকমতো নির্ধারণও করতে পারেনি।
জুনের মার্কেটিং ডিপেনডেন্সি এবং অক্টোবরের মনিটরিং-সংশ্লিষ্ট স্ক্রিপ্ট আর্থিকভাবে সংবেদনশীল ইন্টারফেসে প্রবেশের জন্য ভিন্ন ভিন্ন পথ প্রদান করেছিল। জুনের মেকানিজমটি অনুমোদিত অনুমতির উপর নির্ভর করত, যখন অক্টোবরের কোডটি ট্রেডিং টুলস খুঁজত এবং স্বাক্ষরের অনুরোধ করত। একটি দুর্বল সরবরাহকারীকে প্রতিস্থাপন করাই ওয়েবসাইটের ভিতরে আর্থিক ফাংশনগুলিতে ক্ষতিকারক কোডের পৌঁছানোর ব্যাপক সমস্যার সমাধান করে না। পুনরাবৃত্তি হওয়া ব্রেচগুলি এই প্রশ্ন তোলে যে, একজন ট্রেডারের ব্রাউজারের মাধ্যমে বাইরের কোডটি কতটা আর্থিক ক্ষমতা অর্জন করতে পারে।
MDN-এর ব্রাউজার ডকুমেন্টেশন বলে যে, একটি পেজে সরাসরি লোড করা থার্ড-পার্টি স্ক্রিপ্ট ঐ পেজের অন্যান্য স্ক্রিপ্ট এবং ডেটা অ্যাক্সেস করতে পারে। MDN ব্যাখ্যা করে যে, স্ক্রিপ্টটিকে অন্যত্র হোস্ট করলেও এই অ্যাক্সেস সরিয়ে ফেলা যায় না, কিন্তু একটি আলাদা ফ্রেমে ক্রস-অরিজিন কনটেন্টের একটি ভিন্ন সিকিউরিটি বাউন্ডারি থাকে। বাহ্যিক কোড কমানো, সিগনেচার অনুরোধ সীমিত করা এবং ডাউনলোড করা ফাইলগুলির পরীক্ষা করা আক্রমণের বিভিন্ন পর্যায়কে সম্মুখীন করে। ট্রেডিং এবং সাইনিং পেজগুলির অপ্রয়োজনীয় ইন্টিগ্রেশনগুলি সরিয়ে ফেলা ঐ পরিবেশগুলিতে বাহ্যিক কোডকে অনুমতি দেওয়াকে সীমিত করে। সাইনারের অ্যাক্সেস পর্যালোচনা করা এবং যেসব অ্যাকশনগুলির জন্য নতুন ব্যবহারকারীর নিশ্চয়তা প্রয়োজন, তা Identifying-এর মাধ্যমে, অ্যাক্সেস পাওয়ার পরেও কোডটির দ্বারা করা যাওয়ার অনুরোধগুলির সীমা-পরিধি নির্ধারণ করা।
সাবরিসোর্স ইন্টেগ্রিটি ব্রাউজারগুলিকে ডাউনলোড করা স্ক্রিপ্টগুলিকে প্রত্যাশিত ক্রিপ্টোগ্রাফিক ফিঙ্গারপ্রিন্টের সাথে চেক করতে এবং পরিবর্তিত ফাইলগুলি প্রত্যাখ্যান করতে সক্ষম করে। সাবরিসোর্স ইন্টেগ্রিটি একটি বিশ্বস্ত ডোমেইনে হোস্ট করা উপযুক্তভাবে পিন করা সম্পদকেও সুরক্ষিত রাখতে পারে। প্রকাশের সময়কাল, প্রভাবিত অ্যাকাউন্ট এবং অনুমতি রুটগুলি সম্পর্কে একটি বিস্তারিত পোস্টমর্টেম অবশিষ্ট ঝুঁকি মূল্যায়নে সহায়তা করবে। অন্য কোনো কমপ্রোমাইজড ইন্টিগ্রেশন কি ট্রেডিং-ইন্টারফেসের অ্যাক্সেসকে ব্যবহারযোগ্য আর্থিক অনুমতিতে রুপান্তর করতে পারে, তা এখনও অসমাধান।