Polymarket, uluslararası tahmin piyasasını bozan bir üçüncü taraf sağlayıcı nedeniyle 29 Ekim'de alım satımı yeniden başlattı. Olay, Polymarket'in dört ay içindeki ikinci milyonlarca dolarlık güvenlik ihlalini işaret etti. Polymarket'in resmi olay günlüğü, trading kısıtlamalarının başlangıcını 18:05 UTC ve çözümü 19:05 UTC olarak belirtti. Polymarket, sorunun çözüldüğünü ve yetkililere haber verildiğini açıkladı. Polymarket, etkilenen kullanıcılar için tam tazminat sağlayacağını da vaat etti.
Bubblemaps, bir blok zinciri analiz firması, 29 Ekim'deki sızıntının 700'den fazla Polymarket kullanıcısını etkilediğini ve yaklaşık 3,46 milyon dolarlık varlıkları ele geçirdiğini tahmin etti. Saldırganlar yaklaşık 2,7 milyon doları POL'e değiştirdi ve fonları dışarı taşıdı. Değerlendirme yapıldığında başka 750.000 dolar Polymarket'te kalmıştı.
Polymarket, 25 Haziran'da bir tedarikçinin kötü amaçlı bir betik eklenmesine izin verdiğini açıkladı. Polymarket, etkilenen bağımlılığın kaldırıldığını ve tam iade yapılacağını söz verdi. Source Defense, Haziran'daki saldırıdan yaklaşık 3 milyon dolarlık kayıplar yaşadığını bildirdi. Source Defense, saldırganın Polymarket'e özel bir çekiciyle değiştirildiği, dış bir kimlik kütüphanesini getiren bir pazarlama etiketine kadar saldırının yolunu izledi. Source Defense araştırmacıları, Haziran'daki yükün $100.000'dan fazla tutar içeren cüzdanları hedef aldığını ve dijital onay için tekrar tekrar istekte bulunduğunu söyledi. Onaylanan bir onay, imzalı eylemleri gönderen Polymarket'in relayer'inden geçti.
Hudson Rock'un Ekim analizi, DebugBear ile ilişkili bir URL'den elde edilen kodun, oturum açmış bir oturum içinde aktif işlem istemcisini ve imzalayıcıyı aradığını açıkladı. İmzalayıcı, kriptografik yetki isteyen bileşendir. Hudson Rock, betiğin programlı davranışının hesap türüne göre değiştiğini tespit etti. Bir dal, pozisyon tokenlerinin transferini talep ediyordu; diğer dal, satışları ve kazançların transferini talep ediyordu. Hudson Rock, DebugBear izleme betiğinin kaldırıldığını belgeleyen üretim derleme meta verilerini de tanımladı. Ancak Hudson Rock'un statik analizi, kodun çalıştırıldığını, imzaların sessizce alındığını veya özel anahtarların çalındığını kanıtlayamadı. Analiz ayrıca mağdurlardan alıcılara kadar tam bir iz oluşturamadı. Kaldırma meta verileri, kullanıcıların maruziyetinin tam olarak ne zaman sona erdiğini belirlemiyor.
Haziran pazarlama bağımlılığı ve Ekim izleme ile ilişkili betik, finansal olarak hassas bir arayüze farklı yollar sağladı. Haziran mekanizmasının, onaylanmış yetkilendirmelere bağlı olduğu bildirildi, ancak Ekim kodu alım satım araçlarını aradı ve imzaları talep etti. Sadece bir güvenilmeyen tedarikçinin değiştirilmesi, web sitesi içindeki finansal işlevlere ulaşan zararlı kodun daha geniş sorununu çözmez. Tekrarlanan ihlaller, bir trader'ın tarayıcısı aracılığıyla dış kodun erişebileceği finansal yetkinin sorularını artırıyor.
MDN'nin tarayıcı belgeleri, bir sayfaya doğrudan yüklenen üçüncü taraf bir betiğin o sayfadaki diğer betiklere ve verilere erişebileceğini belirtir. MDN, betiğin başka bir yerde barındırılmasının bu erişimi kaldırmadığını, ancak ayrı bir çerçevedeki çapraz kökenli içeriklerin farklı bir güvenlik sınırına sahip olduğunu açıklar. Dış kodların azaltılması, imza isteklerinin sınırlanması ve indirilen dosyaların kontrol edilmesi, saldırı zincirinin farklı aşamalarını ele alır. Alım satım ve imzalama sayfalarından gereksiz entegrasyonları kaldırarak bu ortamlara izin verilen dış kod miktarını azaltabilirsiniz. İmzalayıcı erişimlerini gözden geçirmek ve yeniden kullanıcı onayı gerektiren eylemleri belirlemek, erişim kazandıktan sonra kodun yapabileceği istekleri sınırlar.
Subresource Integrity, tarayıcıların indirilen betikleri beklenen kriptografik parmak iziyle karşılaştırmasına ve değiştirilmiş dosyaları reddetmesine olanak tanır. Subresource Integrity, güvenilir bir etki alanında barındırılan uygun şekilde sabitlenmiş bir kaynağı da koruyabilir. Maruz kalma süresini, etkilenen hesapları ve yetkilendirme yollarını kapsayan ayrıntılı bir olay sonrası analiz, kalan riski değerlendirmeye yardımcı olabilir. Başka bir kötüye kullanılmış entegrasyonun, işlem arayüzü erişimini kullanabilir finansal yetkilendirmeye dönüştürebilip istemediği henüz çözülmemiştir.