Polymarket возобновила торговлю 29 октября после того, как скомпрометированный сторонний провайдер нарушил работу международного прогнозного рынка. Инцидент стал вторым многомиллионным нарушением безопасности Polymarket за четыре месяца. Официальный журнал инцидента Polymarket указывает, что ограничения на торговлю начались в 18:05 UTC и были сняты в 19:05 UTC. Polymarket сообщила, что проблема устранена, а правоохранительные органы уведомлены. Polymarket также обещала полную компенсацию всем пострадавшим пользователям.
Bubblemaps, компания по анализу блокчейна, оценила, что взлом 29 октября затронул более 700 пользователей Polymarket и скомпрометировал примерно 3,46 миллиона долларов США активов. Злоумышленники обменяли около 2,7 миллиона долларов США на POL и вывели средства. Дополнительно 750 000 долларов США остались на Polymarket на момент проведения оценки.
Polymarket раскрыла 25 июня, что скомпрометированный поставщик включил внедрение вредоносного скрипта. Polymarket сообщила, что затронутая зависимость была удалена, и обещала полные возмещения. Source Defense сообщила о потерях примерно в 3 миллиона долларов в результате атаки в июне. Source Defense установила, что доставка произошла через маркетинговый тег, который загружал внешнюю библиотеку идентификации, которую злоумышленник заменил на драйнер, адаптированный под Polymarket. Исследователи Source Defense заявили, что июньский payload нацеливался на кошельки с балансом более 100 000 долларов и многократно запрашивал цифровую авторизацию. Одобренная авторизация проходила через релей Polymarket, который отправляет подписанные действия.
Анализ Hudson Rock за октябрь описал код, полученный из URL, связанного с DebugBear, который искал активного торгового клиента и подписывающее устройство в рамках авторизованной сессии. Подписывающее устройство — это компонент, запрашивающий криптографическую авторизацию. Hudson Rock обнаружил, что поведение скрипта варьировалось в зависимости от типа аккаунта. Один участок кода запрашивал перевод токенов позиции; другой — продажу с последующим переводом выручки. Hudson Rock также выявил метаданные сборки для продакшена, фиксирующие удаление скрипта мониторинга DebugBear. Однако статический анализ Hudson Rock не подтвердил, что код выполнялся, тайно получал подписи или крал приватные ключи. Анализ также не установил полную цепочку от жертв до получателей. Метаданные об удалении не позволяют точно определить, когда закончилось воздействие на пользователей.
Маркетинговый скрипт июня и скрипт, связанный с мониторингом в октябре, предоставляли разные пути доступа к финансово чувствительному интерфейсу. Механизм июня, как сообщается, зависел от одобренных разрешений, в то время как код октября искал торговые инструменты и запрашивал подписи. Замена скомпрометированного поставщика в одиночку не решает более широкую проблему проникновения вредоносного кода в финансовые функции веб-сайта. Повторяющиеся нарушения вызывают вопросы о том, какие финансовые полномочия внешний код может получить через браузер трейдера.
Документация MDN по браузерам утверждает, что сторонний скрипт, загруженный непосредственно на страницу, может получить доступ к другим скриптам и данным на этой странице. MDN поясняет, что размещение скрипта в другом месте не устраняет этого доступа, тогда как контент с другого источника в отдельном фрейме имеет другую границу безопасности. Сокращение внешнего кода, ограничение запросов на подпись и проверка загруженных файлов позволяют воздействовать на разные этапы цепочки атаки. Удаление ненужных интеграций со страниц торговли и подписи снижает количество внешнего кода, допускаемого в эти среды. Проверка доступа подписывающего лица и выявление действий, требующих новой подтверждения пользователя, ограничивает запросы, которые код может выполнять после получения доступа.
Subresource Integrity позволяет браузерам проверять загруженные скрипты по ожидаемому криптографическому отпечатку и отклонять изменённые файлы. Subresource Integrity также может защищать ресурс с соответствующим пиннингом, размещённый на доверенном домене. Подробный постмортем, охватывающий период утечки, затронутые аккаунты и маршруты авторизации, поможет оценить оставшийся риск. Вопрос о том, может ли ещё одно скомпрометированное интегрированное решение преобразовать доступ к интерфейсу торговли в действительную финансовую авторизацию, остаётся нерешённым.