पॉलीमार्केट चार महीनों में दूसरी बार मिलियन डॉलर की सुरक्षा लापरवाही का शिकार हो गया

पॉलीमार्केट ने 29 अक्टूबर को एक संक्रमित तीसरे पक्ष के प्रोवाइडर के कारण अंतरराष्ट्रीय भविष्यवाणी बाजार को बाधित करने के बाद व्यापार पुनः शुरू किया। इस घटना ने चार महीनों में पॉलीमार्केट की दूसरी मल्टीमिलियन डॉलर की सुरक्षा लापरवाही को दर्शाया। पॉलीमार्केट के आधिकारिक घटना लॉग के अनुसार, व्यापार प्रतिबंधों की शुरुआत 18:05 UTC और समाधान 19:05 UTC पर हुआ। पॉलीमार्केट ने कहा कि समस्या का समाधान कर दिया गया है और कानून प्रवर्तन अधिकारियों को सूचित कर दिया गया है। पॉलीमार्केट ने प्रभावित उपयोगकर्ताओं के लिए पूर्ण क्षतिपूर्ति का भी वादा किया है।

बबलमैप्स, एक ब्लॉकचेन विश्लेषण कंपनी, ने अनुमान लगाया कि 29 अक्टूबर की ब्रीच से 700 से अधिक पॉलीमार्केट उपयोगकर्ता प्रभावित हुए और लगभग $3.46 मिलियन के संपत्ति दुरुपयोग हुई। हमलावरों ने लगभग $2.7 मिलियन को POL के लिए विनिमय किया और धनराशि बाहर ले गए। अन्य $750,000 पॉलीमार्केट पर शेष रहे जब आकलन किया गया।

25 जून को Polymarket ने घोषणा की कि एक संक्रमित विक्रेता ने एक हानिकारक स्क्रिप्ट के इंजेक्शन को सक्षम कर दिया था। Polymarket ने कहा कि प्रभावित निर्भरता को हटा दिया गया है और पूर्ण रिफंड का वादा किया है। Source Defense ने जून के हमले से लगभग $3 मिलियन की हानि की रिपोर्ट की। Source Defense ने इसे एक मार्केटिंग टैग तक ट्रेस किया, जिसने एक बाहरी पहचान लाइब्रेरी को फेच किया, जिसे हमलावर ने Polymarket के लिए अनुकूलित ड्रेनर से प्रतिस्थापित कर दिया। Source Defense के शोधकर्ताओं ने कहा कि जून का पेलोड $100,000 से अधिक रखने वाले वॉलेट्स को लक्षित करता था और बार-बार डिजिटल अनुमति की मांग करता था। एक स्वीकृत अनुमति Polymarket के रिलेयर के माध्यम से पारित हुई, जो हस्ताक्षरित कार्रवाइयाँ प्रस्तुत करता है।

हडसन रॉक के अक्टूबर के विश्लेषण में एक कोड का वर्णन किया गया था जो DebugBear से संबंधित एक URL से प्राप्त किया गया था, जो लॉगिन सत्र के भीतर सक्रिय ट्रेडिंग क्लाइंट और साइनर को ढूंढने का प्रयास कर रहा था। साइनर वह घटक है जो क्रिप्टोग्राफिक अनुमति का अनुरोध करता है। हडसन रॉक ने पाया कि स्क्रिप्ट का प्रोग्राम्ड व्यवहार खाते के प्रकार के आधार पर भिन्न था। एक शाखा ने पोज़ीशन टोकन के ट्रांसफ़र का अनुरोध किया; दूसरी शाखा ने बिक्री के बाद लाभ के ट्रांसफ़र का अनुरोध किया। हडसन रॉक ने उत्पादन-बिल्ड मेटाडेटा की पहचान की, जिसमें DebugBear मॉनिटरिंग स्क्रिप्ट को हटाए जाने का दस्तावेज़ीकरण किया गया था। हालाँकि, हडसन रॉक का स्टैटिक विश्लेषण यह साबित नहीं कर पाया कि कोड ने निष्पादित हुआ, साइनेचर्स को चुपचाप प्राप्त किया या प्राइवेट कीज़ चुरा लीं। विश्लेषण ने पीड़ितों से प्राप्तकर्ताओं तक की पूरी श्रृंखला की स्थापना भी नहीं की। हटाए जाने के मेटाडेटा से सटीक रूप से यह स्थापित नहीं हो पाया कि उपयोगकर्ताओं की संपर्क समय समाप्ति कब हुई।

जून का मार्केटिंग निर्भरता और अक्टूबर का मॉनिटरिंग-संबंधित स्क्रिप्ट वित्तीय रूप से संवेदनशील इंटरफेस में अलग-अलग रास्ते प्रदान करते हैं। जून के मैकेनिज्म पर दावा किया गया है कि यह स्वीकृत अधिकारों पर निर्भर करता था, जबकि अक्टूबर कोड ट्रेडिंग टूल्स की खोज करता था और हस्ताक्षरों की मांग करता था। केवल एक दुर्भावनापूर्ण आपूर्तिकर्ता को बदलने से वेबसाइट के भीतर वित्तीय कार्यों तक पहुंचने वाले दुर्भावनापूर्ण कोड की व्यापक समस्या का समाधान नहीं होता। दोहराए गए उल्लंघनों से यह सवाल उठता है कि बाहरी कोड किस वित्तीय प्राधिकरण तक एक ट्रेडर के ब्राउज़र के माध्यम से पहुंच सकता है।

MDN की ब्राउज़र दस्तावेज़ीकरण के अनुसार, एक पेज में सीधे लोड किया गया तीसरे पक्ष का स्क्रिप्ट उस पेज पर अन्य स्क्रिप्ट्स और डेटा तक पहुँच सकता है। MDN समझाता है कि स्क्रिप्ट को कहीं और होस्ट करने से उस पहुँच को हटाया नहीं जाता, जबकि अलग फ्रेम में क्रॉस-ओरिजिन कंटेंट की अलग सुरक्षा सीमा होती है। बाहरी कोड को कम करना, साइनेचर अनुरोधों को सीमित करना और डाउनलोड किए गए फाइलों की जाँच करना हमले की श्रृंखला के विभिन्न चरणों को संबोधित करता है। ट्रेडिंग और साइनिंग पेजों से अनावश्यक एकीकरण हटाने से उन परिवेशों में अनुमति दी गई बाहरी कोड की मात्रा कम होती है। साइनर की पहुँच की समीक्षा करना और ऐसे कार्यों की पहचान करना जिनके लिए नवीनतम उपयोगकर्ता पुष्टि की आवश्यकता होती है, उन अनुरोधों को सीमित करता है जिन्हें कोड पहुँच प्राप्त करने के बाद कर सकता है।

Subresource Integrity के माध्यम से ब्राउज़र डाउनलोड किए गए स्क्रिप्ट्स की जांच एक अपेक्षित क्रिप्टोग्राफिक फिंगरप्रिंट के खिलाफ करते हैं और बदले हुए फाइलों को अस्वीकार कर देते हैं। Subresource Integrity एक विश्वसनीय डोमेन पर होस्ट किए गए उपयुक्त पिन किए गए संसाधन को भी सुरक्षित कर सकता है। प्रकट होने की अवधि, प्रभावित खातों और अधिकार पथों को कवर करने वाला एक विस्तृत पोस्टमॉर्टम शेष जोखिम का मूल्यांकन करने में मदद करेगा। क्या कोई अन्य संक्रमित एकीकरण ट्रेडिंग-इंटरफेस एक्सेस को उपयोगी वित्तीय अधिकार में रूपांतरित कर सकता है, यह अभी अनुत्तरित है।