Polymarket обмежила торгівлю лише скасуванням замовлень і призупинила дії релейерів на тлі повідомлень користувачів про несанкціоновані виведення коштів. Користувачі повідомили про можливе компрометування фронтенду прогнозного ринку. Polymarket розслідує інцидент безпеки. Статус-сторінка платформи вказує на серйозний вивід, що впливає на API торгівлі. Трейдери можуть скасовувати вже розміщені замовлення, але не можуть подавати нові. Призупинені дії релейерів відправляють транзакції, підписані користувачами, до блокчейну.
Трейдер, відомий як CarOnPolymarket, сказав, що несанкціоновані виведення коштів завдали йому збитків на $800 000. CarOnPolymarket зазначив, що інші акаунти також були вплинуті, а один із друзів втратив близько $600 000. Трейдер закликав користувачів забезпечити безпеку своїх акаунтів і уникати взаємодії з веб-сайтом.
Дані Arkham показують близько 2,65 млн доларів США POL у гаманці 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, який належить підозрюваному нападнику. POL — це нативний токен Polygon. Гаманець отримав кілька конверсій USDC.e в POL через сервіс міжланцюгового обміну Relay. USDC.e — це зв’язана форма стейблкоїну USDC. Транзакції з’явилися приблизно годину тому. За останні п’ять хвилин активність у гаманці не фіксувалася.
Дослідники Hudson Rock заявили, що сценарій, що надсилається через службу моніторингу веб-продуктивності DebugBear, містить код, спрямований на торгівельні сесії зареєстрованих користувачів. Hudson Rock зазначила, що цей код намагається продати позиції користувачів і переказати отримані активи. Hudson Rock сказала, що сценарій вказує на гаманець підозрюваного нападника як жорстко закодований резервний отримувач. Hudson Rock також зазначила, що код виробничого веб-сайту Polymarket містить інформацію про видалення цього сценарію. Hudson Rock ще не визначила, як почалося порушення чи скільки користувачів було вплинуте.
Polymarket не визначила причину інциденту. Компрометація приватного ключа у травні призвела до виведення приблизно 700 000 доларів із внутрішнього гаманця для поповнення. Компрометація стороннього постачальника місяцем пізніше дозволила хакерам вставити шкідливий фронтенд-код і вкрасти близько 3 мільйонів доларів з менш ніж 15 акаунтів. Polymarket запобігла повністю повернути кошти після цього інциденту.