Polymarket meneruskan perniagaan pada 29 Okt selepas penyedia pihak ketiga yang diserang mengganggu pasaran ramalan antarabangsa. Insiden ini menandakan kebocoran keselamatan multimilion dolar kedua Polymarket dalam tempoh empat bulan. Log insiden rasmi Polymarket menyatakan permulaan sekatan perniagaan pada 18:05 UTC dan penyelesaian pada 19:05 UTC. Polymarket menyatakan masalah tersebut telah diperbaiki dan pihak berkuasa telah diberitahu. Polymarket juga menjanjikan kompensasi penuh kepada pengguna yang terkesan.
Bubblemaps, sebuah syarikat analitik blok rantai, menganggarkan bahawa serangan pada 29 Okt mempengaruhi lebih daripada 700 pengguna Polymarket dan mengompromikan sekurang-kurangnya $3.46 juta dalam aset. Penyerang bertukar kira-kira $2.7 juta kepada POL dan mengeluarkan dana tersebut. Sebanyak $750,000 lagi masih berada di Polymarket ketika penilaian dibuat.
Polymarket mengungkapkan pada 25 Jun bahawa vendor yang diserang telah mengaktifkan penyuntikan skrip jahat. Polymarket menyatakan bahawa ketergantungan yang terjejas telah dikeluarkan dan menjanjikan pengembalian dana penuh. Source Defense melaporkan kerugian sebanyak kira-kira $3 juta daripada serangan pada Jun. Source Defense melacak penghantaran kepada tag pemasaran yang mengambil pustaka identiti luar, yang digantikan oleh penyerang dengan drainer yang disesuaikan untuk Polymarket. Penyelidik Source Defense mengatakan bahawa beban Jun menargetkan dompet yang memegang lebih daripada $100,000 dan berulang kali meminta otorisasi digital. Otorisasi yang disahkan melalui relayer Polymarket, yang menghantar tindakan yang ditandatangani.
Analisis Oktober Hudson Rock menggambarkan kod yang diperoleh daripada URL yang berkaitan dengan DebugBear yang mencari klien perdagangan aktif dan penandatangan dalam sesi log masuk. Penandatangan ialah komponen yang meminta kebenaran kriptografi. Hudson Rock mendapati bahawa tingkah laku yang diprogramkan skrip tersebut berbeza mengikut jenis akaun. Satu cabang meminta pindahan token kedudukan; cabang lain meminta penjualan diikuti dengan pindahan hasilnya. Hudson Rock juga mengenal pasti metadata build pengeluaran yang mendokumentasikan penghapusan skrip pemantauan DebugBear. Namun, analisis statik Hudson Rock tidak membuktikan bahawa kod tersebut dilaksanakan, memperoleh tanda tangan secara senyap, atau mencuri kunci peribadi. Analisis juga tidak menubuhkan jejak lengkap dari mangsa kepada penerima. Metadata penghapusan tidak menentukan dengan tepat bila eksposur pengguna berakhir.
Ketergantungan pemasaran Jun dan skrip pemantauan Oktober memberikan laluan berbeza ke dalam antaramuka yang sensitif secara kewangan. Mekanisme Jun dilaporkan bergantung pada kebenaran yang diluluskan, manakala kod Oktober mencari alat perdagangan dan meminta tanda tangan. Mengganti pemasok yang telah disusupi sahaja tidak menangani masalah yang lebih luas mengenai kod jahat yang mencapai fungsi kewangan di dalam laman web. Pelanggaran berulang menimbulkan soalan mengenai kuasa kewangan yang boleh diakses oleh kod luar melalui pelayar pedagang.
Dokumentasi peramban MDN menyatakan bahawa skrip pihak ketiga yang dimuatkan secara langsung ke dalam laman boleh mencapai skrip dan data lain di laman tersebut. MDN menjelaskan bahawa menghoskan skrip di tempat lain tidak menghilangkan akses tersebut, manakala kandungan lintas sumber dalam kerangka berasingan mempunyai sempadan keselamatan yang berbeza. Mengurangkan kod luar, membatasi permintaan tanda tangan, dan memeriksa fail yang dimuat turun menangani peringkat yang berbeza dalam rantai serangan. Menghapuskan integrasi yang tidak perlu daripada laman dagangan dan penandatanganan mengurangkan kod luar yang dibenarkan masuk ke persekitaran tersebut. Meninjau akses penandatangan dan mengenal pasti tindakan yang memerlukan pengesahan pengguna yang baharu membatasi permintaan yang boleh dibuat oleh kod selepas mendapat akses.
Subresource Integrity membenarkan pelayar untuk memeriksa skrip yang dimuat turun terhadap jejak kriptografi yang diharapkan dan menolak fail yang telah diubah. Subresource Integrity juga boleh melindungi sumber yang telah dipasang tetap dan dihoskan di domain yang dipercayai. Sebuah laporan pasca-kejadian yang terperinci yang merangkumi tempoh pendedahan, akaun yang terjejas, dan laluan autorisasi akan membantu menilai risiko yang tinggal. Samada integrasi lain yang telah disusupi boleh menukar akses antaramuka perdagangan menjadi autorisasi kewangan yang boleh digunakan masih belum diselesaikan.