Polymarket, uluslararası tahmin piyasasını bozan bir üçüncü taraf sağlayıcı nedeniyle 29 Ekim'de alım satımı yeniden başlattı. Bu olay, Polymarket'in dört ay içindeki ikinci milyonlarca dolarlık güvenlik ihlalini işaret etti. Polymarket'in resmi olay kaydı, trading kısıtlamalarının başlangıcını 18:05 UTC ve çözümü 19:05 UTC olarak belirtti. Polymarket, sorunun çözüldüğünü ve yetkililere haber verildiğini açıkladı. Polymarket, etkilenen kullanıcılar için tam tazminat sağlayacağını da vaat etti.
Bubblemaps, bir blok zinciri analiz firması, 29 Ekim'deki sızıntının 700'den fazla Polymarket kullanıcısını etkilediğini ve yaklaşık 3,46 milyon dolarlık varlıkları ele geçirdiğini tahmin etti. Saldırganlar yaklaşık 2,7 milyon doları POL için değiştirdi ve fonları dışarı taşıdı. Değerlendirme yapıldığında başka 750.000 dolar Polymarket'te kalmıştı.
Polymarket, 25 Haziran'da bir tedarikçinin güvenliği ihlal edilerek zararlı bir betik eklenmesine izin verildiğini açıkladı. Polymarket, etkilenen bağımlılığın kaldırıldığını ve tam iade yapılacağını belirtti. Source Defense, Haziran'daki saldırıdan yaklaşık 3 milyon dolarlık kayıplar yaşadığını bildirdi. Source Defense, saldırganın Polymarket'e özel bir çekiciyle değiştirilen, dış bir kimlik kütüphanesini çeken bir pazarlama etiketine kadar izledi. Source Defense araştırmacıları, Haziran'daki yüklemenin 100.000 doların üzerinde bakiyeye sahip cüzdanları hedef aldığını ve dijital onayları tekrar tekrar talep ettiğini söyledi. Onaylanan bir onay, imzalı eylemleri gönderen Polymarket'in relayer'inden geçti.
Hudson Rock'un Ekim analizi, DebugBear ile ilişkili bir URL'den elde edilen kodun, oturum açmış bir oturum içinde aktif işlem istemcisini ve imzalayıcıyı aradığını açıkladı. İmzalayıcı, kriptografik yetki isteyen bileşendir. Hudson Rock, betiğin programlı davranışının hesap türüne göre değiştiğini tespit etti. Bir dal, pozisyon token'larının transferini talep ediyordu; diğer dal, satışları ve kazançların transferini talep ediyordu. Hudson Rock, DebugBear izleme betiğinin kaldırıldığını belgeleyen üretim derleme meta verilerini de tanımladı. Ancak Hudson Rock'un statik analizi, kodun çalıştırıldığını, imzaların sessizce alındığını veya özel anahtarların çalındığını kanıtlayamadı. Analiz ayrıca mağdurlardan alıcılara kadar tam bir iz oluşturamadı. Kaldırma meta verileri, kullanıcıların maruziyetinin tam olarak ne zaman sona erdiğini belirlemiyor.
Haziran pazarlama bağımlılığı ve Ekim izleme ile ilişkili betik, finansal olarak hassas bir arayüze farklı yollar sağladı. Haziran mekanizmasının, onaylanmış yetkilendirmelere bağlı olduğu rapor edilirken, Ekim kodu alım satım araçlarını aradı ve imzaları talep etti. Sadece bir güvenilmeyen tedarikçinin değiştirilmesi, web sitesi içindeki finansal işlevlere ulaşan zararlı kodun daha geniş sorununu çözmez. Tekrarlanan ihlaller, bir trader'ın tarayıcısı aracılığıyla dış kodun erişebileceği finansal yetkinin sorularını gündeme getiriyor.
MDN'nin tarayıcı belgeleri, bir sayfaya doğrudan yüklenen üçüncü taraf bir betiğin o sayfadaki diğer betiklere ve verilere erişebileceğini belirtir. MDN, betiğin başka bir yerde barındırılmasının bu erişimi kaldırmadığını, ancak ayrı bir çerçevedeki çapraz kökenli içeriklerin farklı bir güvenlik sınırına sahip olduğunu açıklar. Dış kodların azaltılması, imza taleplerinin sınırlanması ve indirilen dosyaların kontrol edilmesi, saldırı zincirinin farklı aşamalarını ele alır. Alım satım ve imzalama sayfalarından gereksiz entegrasyonları kaldırarak bu ortamlara izin verilen dış kod miktarını azaltabilirsiniz. İmzalayıcı erişimlerini gözden geçirmek ve yeniden kullanıcı onayı gerektiren eylemleri belirlemek, erişim kazanıldıktan sonra betiklerin yapabileceği talepleri sınırlar.
Subresource Integrity, tarayıcıların indirilen betikleri beklenen kriptografik parmak iziyle karşılaştırmasına ve değiştirilmiş dosyaları reddetmesine olanak tanır. Subresource Integrity, güvenilir bir etki alanında barındırılan uygun şekilde sabitlenmiş bir kaynağı da koruyabilir. Maruz kalma süresini, etkilenen hesapları ve yetkilendirme yollarını kapsayan ayrıntılı bir postmortem raporu, kalan riski değerlendirmeye yardımcı olabilir. Başka bir compromised entegrasyonun, işlem arayüzü erişimini kullanabilir finansal yetkiye dönüştürebilip istemediği henüz çözülmemiştir.
Polymarket, dört ay içinde ikinci kez milyonlarca dolarlık bir güvenlik ihlali yaşadı
CryptoSlatePaylaş
Özet
Polymarket, 29 Ekim 2026'da bir üçüncü taraf sağlayıcının güvenliği ihlal edildikten sonra ikinci büyük bir güvenlik ihlaliyle karşılaştı. Saldırı, 700'den fazla kullanıcıyı ve 3,46 milyon dolarlık varlıkları etkiledi; bunun 2,7 milyon doları çekildi. Olayın sırasında işlem hacmi keskin bir şekilde düştü. Polymarket, tam tazminat vaadi verdi ve yetkilileri bilgilendirdi. Bubblemaps, ihlali raporladı; Hudson Rock ise zararlı betiği DebugBear'e bağladı. Bu, Haziran 2026'da da bir tedarikçiyle ilişkili benzer bir olayı takip ediyor. Kripto piyasaları için korku ve sevgi endeksi, bu olaydan sonra düşüş seviyesine indi.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.