Nag-resume muli ang Polymarket ng pagtutok noong Okt. 29 pagkatapos makasira ng isang kompromisong third-party provider sa international prediction market. Ang insidente ay nagmarka bilang pangalawang security breach na nasa milyon-milyong dolyar ng Polymarket sa loob ng apat na buwan. Ang opisyal na log ng insidente ng Polymarket ay naglalagay ng simula ng pagtutok sa 18:05 UTC at resolusyon sa 19:05 UTC. Sinabi ng Polymarket na nalutas na ang problema at na-notify na ang law enforcement. Siniguro rin ng Polymarket ang buong kompensasyon para sa mga naapektuhyong user.
Ang Bubblemaps, isang kumpanya ng blockchain analytics, ay nag-estima na ang paglabas noong Okt. 29 ay nakaaapekto sa higit sa 700 na gumagamit ng Polymarket at nagkakasalbahay ng halos $3.46 milyon sa mga ari-arian. Ang mga mananakop ay nagpalit ng halos $2.7 milyon para sa POL at inilipat ang mga pondo. Natira pa ang iba pang $750,000 sa Polymarket nang gawin ang pagtataya.
Ipinahayag ng Polymarket noong ika-25 ng Hunyo na ang isang napapalayas na vendor ay nag-enable ng pagpapaloob ng isang masasamang script. Sinabi ng Polymarket na tanggalin na ang nasabing dependency at pinangako ang buong refund. Ikinuwento ng Source Defense ang mga pagkawala na humigit-kumulang $3 milyon mula sa pag-atake noong Hunyo. Ikinuha ng Source Defense ang pagdala sa isang marketing tag na nagkuha ng isang panlabas na identity library, na ginawa ng attacker na drainer na espesipiko para sa Polymarket. Sabi ng mga researcher ng Source Defense, ang June payload ay tumarget sa mga wallet na may higit sa $100,000 at paulit-ulit na humingi ng digital na pahintulot. Ang isang pinagtibay na pahintulot ay dumadaan sa relayer ng Polymarket, na nagsumite ng mga sinirang aksyon.
Ang October analysis ni Hudson Rock ay naglalarawan ng code na kinuha mula sa isang URL na kaugnay sa DebugBear na naghahanap ng aktibong trading client at signer sa loob ng isang naka-logged-in na session. Ang signer ay ang komponenteng humihingi ng kriptograpikong awtorisasyon. Natuklasan ni Hudson Rock na ang programadong pag-uugali ng script ay nagkakaiba batay sa uri ng account. Isang branch ay humingi ng pag-transfer ng position tokens; ang isa pang branch ay humingi ng pagbenta kasunod ng pag-transfer ng mga kita. Natuklasan din ni Hudson Rock ang metadata ng production-build na naglalaman ng dokumentasyon tungkol sa pag-alis ng DebugBear monitoring script. Gayunpaman, ang static analysis ni Hudson Rock ay hindi nagpatotoo na ang code ay nagsagawa, nakakuha ng mga signature nang tahimik, o naninira ng mga private key. Ang analysis ay hindi rin nagtatag ng isang kompletong trail mula sa mga biktima patungo sa mga tagatanggap. Ang metadata ng pag-alis ay hindi nagtatag ng eksaktong oras kung kailan natapos ang eksposur ng mga user.
Ang June marketing dependency at ang October monitoring-associated script ay nagbigay ng iba’t ibang daan papunta sa isang financial na sensitibong interface. Ang June mechanism ay alam na nakadepende sa mga pinahihintulutang awtorisasyon, habang ang October code ay humahanap ng mga trading tool at humihingi ng mga signature. Ang pagpapalit lamang ng isang compromised supplier ay hindi nalulutas ang mas malawak na problema ng malicious code na nakakarating sa financial na mga function sa loob ng website. Ang paulit-ulit na pagbubusog ay nagtatanim ng mga tanong tungkol sa financial na awtoridad na maaaring ma-access ng outside code sa pamamagitan ng browser ng trader.
Sinasabi ng dokumentasyon ng browser ng MDN na ang isang third-party script na load nang direkta sa isang pahina ay makakarating sa iba pang mga script at data sa pahinang iyon. Ipinaliwanag ng MDN na ang pag-host ng script sa ibang lugar ay hindi alisin ang akses na iyon, samantalang ang cross-origin na kontento sa hiwalay na frame ay may iba’t ibang security boundary. Ang pagbabawas ng panlabas na code, paglimita sa mga hiling ng signature, at pagsusuri sa mga i-download na file ay tumutugon sa iba’t ibang yugto ng attack chain. Ang pag-alis ng hindi kailangang integrasyon mula sa mga pahina ng trading at signing ay nagbabawas sa panlabas na code na pinapayagan na makapasok sa mga environment na iyon. Ang pagsusuri sa access ng signer at pag-identipikasyon ng mga aksyon na nangangailangan ng bagong user confirmation ay nagpapaliit sa mga hiling na maaaring gawin ng code matapos makakuha ng akses.
Pinapahintulutan ng Subresource Integrity ang mga browser na i-check ang mga i-download na script laban sa inaasahang kriptograpikong fingerprint at tanggihan ang mga binago na files. Maaari rin ng Subresource Integrity na protektahan ang isang sapat na pin na resource na nakahost sa isang tiwalaan na domain. Ang isang detalyadong postmortem na naglalaman ng panahon ng eksposur, mga apektadong account, at mga daan ng pagsasanay ay makakatulong sa pagtataya ng natitirang panganib. Kung mayroon pa bang iba pang napapahamak na integrasyon na maaaring i-convert ang pag-access sa trading interface sa usable na pagsasanay sa pananalapi ay hindi pa nalulutas.