Nag-resume muli ang Polymarket ng pagtinda noong Okt. 29 pagkatapos makasira ng isang kompromitadong third-party provider sa international prediction market. Ang insidente ay nagmarka bilang pangalawang security breach na nasa milyon-milyong dolyar ng Polymarket sa loob ng apat na buwan. Ang opisyal na log ng insidente ng Polymarket ay naglalagay ng simula ng pagtigil sa pagtinda sa 18:05 UTC at resolusyon sa 19:05 UTC. Sinabi ng Polymarket na nalutas na ang problema at na-notify na ang law enforcement. Siniguro rin ng Polymarket ang buong kompensasyon para sa mga naapektuhandong user.
Ang Bubblemaps, isang kumpanya ng blockchain analytics, ay nag-estima na ang paglabag noong Okt. 29 ay nakaaapekto sa higit sa 700 na gumagamit ng Polymarket at na-compromise ang halos $3.46 milyon sa mga ari-arian. Ang mga attacker ay nagpalit ng halos $2.7 milyon para sa POL at inilipat ang mga pondo. Natira pa ang iba pang $750,000 sa Polymarket nang gawin ang pagtataya.
Ipinahayag ng Polymarket noong ika-25 ng Hunyo na ang isang napapalabas na vendor ay nag-enable ng pagpapaloob ng isang masasamang script. Sinabi ng Polymarket na tanggalin na ang nasirang dependency at pinangako ang buong refund. Iraport ng Source Defense ang mga pagkawala na humigit-kumulang $3 milyon mula sa pag-atake noong Hunyo. Itrace ng Source Defense ang pagdala sa isang marketing tag na nangangalap ng isang panlabas na identity library, na ginawa ng attacker na palitan ng drainer na disenyo para sa Polymarket. Sinabi ng mga researcher ng Source Defense na ang June payload ay tumutok sa mga wallet na may higit sa $100,000 at paulit-ulit na humingi ng digital na pahintulot. Ang isang pinapayagang pahintulot ay lumipas sa relayer ng Polymarket, na nagsumite ng mga sinirang aksyon.
Ang October analysis ni Hudson Rock ay naglalarawan ng code na kinuha mula sa isang URL na kaugnay sa DebugBear na naghahanap ng aktibong trading client at signer sa loob ng isang naka-login na session. Ang signer ay ang komponenteng nangangailangan ng kriptograpikong pahintulot. Nakita ni Hudson Rock na iba-iba ang programadong pag-uugali ng script batay sa uri ng account. Isang branch ay nanghingi ng pag-transfer ng position tokens; ang isa pang branch ay nanghingi ng pagbili kasunod ng pag-transfer ng kita. Nakakita rin si Hudson Rock ng metadata ng production-build na nagdokumento sa pag-alis ng DebugBear monitoring script. Gayunpaman, ang static analysis ni Hudson Rock ay hindi nagpatotoo na nag-execute ang code, nakakuha nang tahimik ng mga signature, o nagsakop ng mga private key. Hindi rin nagtatag ng kompletong trail mula sa mga biktima patungo sa mga tagatanggap ang analisis. Ang metadata ng pag-alis ay hindi nagtatag ng eksaktong panahon kung kailan natapos ang eksposur ng mga user.
Ang June marketing dependency at ang October monitoring-associated script ay nagbigay ng iba’t ibang daan papunta sa isang financial na sensitibong interface. Ang June mechanism ay alam na nakadepende sa mga pinapayagang awtorisasyon, habang ang October code ay humahanap ng mga trading tool at humihingi ng mga signature. Ang pagpapalit ng isang napapahamak na supplier ay hindi lamang lutasin ang mas malawak na problema ng malicious code na nakakarating sa financial na mga punsiyon sa loob ng website. Ang paulit-ulit na paglabag ay nagtatanim ng mga tanong tungkol sa financial na awtoridad na maaaring ma-access ng labas na code sa pamamagitan ng browser ng trader.
Sabi ng dokumentasyon ng browser ng MDN, ang isang third-party script na load nang direkta sa isang pahina ay maaaring makarating sa iba pang mga script at data sa pahinang iyon. Ipinaliwanag ng MDN na ang pag-host ng script sa ibang lugar ay hindi tinatanggal ang akses na iyon, samantalang ang cross-origin na nilalaman sa hiwalay na frame ay may iba’t ibang security boundary. Ang pagbabawas ng panlabas na code, paglimita sa mga hiling ng signature, at pagsusuri sa mga na-download na file ay tumutugon sa iba’t ibang yugto ng attack chain. Ang pag-alis ng hindi kinakailangang integrasyon mula sa mga pahina ng trading at signing ay nagbabawas sa panlabas na code na pinapayagan na makapasok sa mga kapaligirang iyon. Ang pagsusuri sa access ng signer at pagtukoy sa mga aksyon na nangangailangan ng bagong pagkumpirma mula sa user ay nagpapaliit sa mga hiling na maaaring gawin ng code pagkatapos makamit ang akses.
Ang Subresource Integrity ay nagpapahintulot sa mga browser na i-check ang mga i-download na script laban sa inaasahang kriptograpikong fingerprint at tanggihan ang mga bagong file. Maaari rin ng Subresource Integrity na protektahan ang isang angkop na pinning resource na nakahost sa isang tiwalaang domain. Ang isang detalyadong postmortem na naglalaman ng panahon ng eksposur, mga apektadong account, at mga ruta ng awtorisasyon ay makakatulong sa pagtataya ng natitirang panganib. Ang kung mayroon pa bang iba pang nakompromiso integrasyon na maaaring i-convert ang pag-access sa trading-interface sa usable na pampinansyal na awtorisasyon ay hindi pa nalutas.
Nasira ng Polymarket ang pangalawang security breach na may halagang milyon-milyong dolyar sa loob ng apat na buwan
CryptoSlateI-share
Summary
Binuhos ng Polymarket ang pangalawang malaking paglabag sa seguridad noong Oktubre 29, 2026, pagkatapos makalabag ang isang third-party provider. Ang pag-atake ay nakaimpluwensya sa higit sa 700 na gumagamit at $3.46 milyon na mga asset, kung saan ang $2.7 milyon ay nalikom. Bumaba nang malaki ang trading volume habang nangyari ang insidente. Pinangako ng Polymarket ang buong kompensasyon at binigay ang babala sa awtoridad. Ipinahayag ng Bubblemaps ang paglabag, habang tinatayang hinanap ng Hudson Rock ang masasamang script sa DebugBear. Ito ay sumunod sa isang katulad na insidente noong Hunyo 2026, na kinalink sa isang vendor. Ang fear and greed index para sa mga crypto market ay bumaba na sa antas na bearish.
Source:Ipakita ang original
Disclaimer: Ang information sa page na ito ay maaaring nakuha mula sa mga third party at hindi necessary na nagre-reflect sa mga pananaw o opinyon ng KuCoin. Ibinigay ang content na ito para sa mga pangkalahatang informational purpose lang, nang walang anumang representation o warranty ng anumang uri, at hindi rin ito dapat ipakahulugan bilang financial o investment advice. Hindi mananagot ang KuCoin para sa anumang error o omission, o para sa anumang outcome na magreresulta mula sa paggamit ng information na ito.
Maaaring maging risky ang mga investment sa mga digital asset. Pakisuri nang maigi ang mga risk ng isang produkto at ang risk tolerance mo batay sa iyong sariling kalagayang pinansyal. Para sa higit pang information, mag-refer sa aming Terms ng Paggamit at Disclosure ng Risk.