Polymarket melanjutkan perniagaan pada 29 Okt selepas penyedia pihak ketiga yang diserang mengganggu pasaran ramalan antarabangsa. Insiden ini menandakan kebocoran keselamatan multimilion dolar kedua Polymarket dalam tempoh empat bulan. Log insiden rasmi Polymarket menempatkan permulaan sekatan perniagaan pada 18:05 UTC dan penyelesaian pada 19:05 UTC. Polymarket menyatakan masalah tersebut telah diperbaiki dan pihak berkuasa telah diberitahu. Polymarket juga menjanjikan kompensasi penuh kepada pengguna yang terkesan.
Bubblemaps, sebuah syarikat analitik blok rantai, menganggarkan bahawa serangan pada 29 Okt mempengaruhi lebih daripada 700 pengguna Polymarket dan mengompromikan aset sebanyak kira-kira $3.46 juta. Penyerang bertukar kira-kira $2.7 juta kepada POL dan mengeluarkan dana tersebut. Sebanyak $750,000 lagi masih berada di Polymarket ketika penilaian dibuat.
Polymarket mengungkapkan pada 25 Jun bahawa vendor yang disusupi telah mengaktifkan penyisipan skrip jahat. Polymarket menyatakan bahawa ketergantungan yang terjejas telah dikeluarkan dan menjanjikan pengembalian dana penuh. Source Defense melaporkan kerugian sebanyak kira-kira $3 juta daripada serangan pada Jun. Source Defense melacak penghantaran kepada tag pemasaran yang mengambil pustaka identiti luar, yang digantikan oleh penyerang dengan drainer yang disesuaikan untuk Polymarket. Penyelidik Source Defense mengatakan bahawa beban Jun menargetkan dompet yang memegang lebih daripada $100,000 dan berulang kali meminta otorisasi digital. Otorisasi yang disahkan melalui relayer Polymarket, yang menghantar tindakan yang ditandatangani.
Analisis Oktober Hudson Rock menggambarkan kod yang diperoleh daripada URL yang berkaitan dengan DebugBear yang mencari klien perdagangan aktif dan penandatangan dalam sesi log masuk. Penandatangan ialah komponen yang meminta kebenaran kriptografi. Hudson Rock mendapati bahawa tingkah laku yang diprogramkan skrip itu berbeza mengikut jenis akaun. Satu cabang meminta pindahan token kedudukan; cabang lain meminta penjualan diikuti dengan pindahan hasilnya. Hudson Rock juga mengenal pasti metadata build pengeluaran yang mendokumentasikan penghapusan skrip pemantauan DebugBear. Namun, analisis statik Hudson Rock tidak membuktikan bahawa kod tersebut dilaksanakan, memperoleh tanda tangan secara senyap, atau mencuri kunci peribadi. Analisis itu juga tidak menubuhkan jejak lengkap dari mangsa kepada penerima. Metadata penghapusan tidak menetapkan dengan tepat bila eksposur pengguna berakhir.
Ketergantungan pemasaran Jun dan skrip pemantauan Oktober memberikan laluan berbeza ke dalam antaramuka yang sensitif secara kewangan. Mekanisme Jun dilaporkan bergantung pada kebenaran yang diluluskan, manakala kod Oktober mencari alat perdagangan dan meminta tanda tangan. Mengganti pemasok yang telah disusupi sahaja tidak menyelesaikan masalah yang lebih luas mengenai kod jahat yang mencapai fungsi kewangan di dalam laman web. Pelanggaran berulang menimbulkan persoalan mengenai kuasa kewangan yang boleh diakses oleh kod luar melalui perambut pedagang.
Dokumentasi peramban MDN menyatakan bahawa skrip pihak ketiga yang dimuatkan secara langsung ke dalam laman boleh mencapai skrip dan data lain di laman tersebut. MDN menjelaskan bahawa menghoskan skrip di tempat lain tidak menghilangkan akses tersebut, manakala kandungan lintas sumber dalam kerangka berasingan mempunyai sempadan keselamatan yang berbeza. Mengurangkan kod luar, membatasi permintaan tanda tangan, dan memeriksa fail yang dimuat turun menangani peringkat yang berbeza dalam rantai serangan. Menghapuskan integrasi yang tidak perlu daripada laman dagangan dan penandatanganan mengurangkan kod luar yang dibenarkan masuk ke persekitaran tersebut. Meninjau akses penandatangan dan mengenal pasti tindakan yang memerlukan pengesahan pengguna yang baharu membatasi permintaan yang boleh dibuat oleh kod selepas mendapat akses.
Subresource Integrity membenarkan pelayar untuk memeriksa skrip yang dimuat turun terhadap jejak kriptografi yang diharapkan dan menolak fail yang telah diubah. Subresource Integrity juga boleh melindungi sumber yang dipasang dengan sesuai yang dihoskan di domain yang dipercayai. Sebuah laporan pasca-kejadian yang terperinci yang merangkumi tempoh pendedahan, akaun yang terjejas, dan laluan autorisasi akan membantu menilai risiko yang tinggal. Samada integrasi lain yang telah ditembusi boleh menukar akses antaramuka perdagangan menjadi autorisasi kewangan yang boleh digunakan masih belum diselesaikan.
Polymarket Mengalami Pencurian Keselamatan Berjumlah Jutaan Dolar Kedua Dalam Empat Bulan
CryptoSlateKongsi
Ringkasan
Polymarket menghadapi serbuan keselamatan besar kedua pada 29 Oktober 2026, selepas penyedia pihak ketiga dikompromikan. Serangan tersebut memberi kesan kepada lebih 700 pengguna dan aset bernilai $3.46 juta, dengan $2.7 juta ditarik keluar. Volum dagangan turun tajam semasa kejadian tersebut. Polymarket berjanji untuk memberikan kompensasi penuh dan memberitahu pihak berkuasa. Bubblemaps melaporkan serangan itu, manakala Hudson Rock menjejak skrip jahat tersebut kepada DebugBear. Ini mengikuti kejadian serupa pada Jun 2026, yang juga dikaitkan dengan vendor. Indeks takut dan serakah untuk pasaran kripto telah jatuh ke aras bearish.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.