پولی مارکیٹ نے ایک مخترع تیسری پارٹی فراہم کنندہ کی وجہ سے بین الاقوامی پیشگوئی مارکیٹ کو متاثر کرنے کے بعد 29 اکتوبر کو ٹریڈنگ دوبارہ شروع کر دی۔ اس واقعے نے چار ماہ میں پولی مارکیٹ کا دوسرا ملین ڈالر کا سیکورٹی بریچ درج کیا۔ پولی مارکیٹ کے افسرانی واقعہ لاگ میں ٹریڈنگ پابندیوں کا آغاز 18:05 UTC اور حل 19:05 UTC کے طور پر درج ہے۔ پولی مارکیٹ نے کہا کہ مسئلہ حل ہو چکا ہے اور قانون نافذ کرنے والے اداروں کو آگاہ کر دیا گیا ہے۔ پولی مارکیٹ نے متاثرہ صارفین کے لیے مکمل معاوضہ کا بھی وعدہ کیا ہے۔
بلب میپس، ایک بلاک چین تجزیاتی فرم، نے اندازہ لگایا کہ 29 اکتوبر کے حملے سے 700 سے زائد Polymarket صارفین متاثر ہوئے اور تقریباً 3.46 ملین امریکی ڈالر کے اثاثے متاثر ہوئے۔ حملہ آوروں نے تقریباً 2.7 ملین امریکی ڈالر کا تبادلہ POL کے لیے کیا اور فنڈز نکال دیے۔ جب جائزہ لیا گیا تو Polymarket پر اور 750,000 امریکی ڈالر باقی تھے۔
25 جون کو Polymarket نے اعلاح کیا کہ ایک متاثرہ فراہم کنندہ نے ایک مضر اسکرپٹ کے انjecٹ ہونے کی اجازت دے دی۔ Polymarket نے کہا کہ متاثرہ ڈیپینڈنسی کو ختم کر دیا گیا ہے اور مکمل ریفند کا وعدہ کیا گیا ہے۔ Source Defense نے جون کے حملے سے تقریباً 3 ملین ڈالر کی نقصان کی رپورٹ کی۔ Source Defense نے یہ پتہ لگایا کہ یہ ترسیل ایک مارکیٹنگ ٹیگ سے ہوئی جس نے ایک باہری شناخت لائبریری حاصل کی، جسے حملہ آور نے Polymarket کے لیے ڈرینر سے تبدیل کر دیا۔ Source Defense کے تحقیقی ماہرین نے کہا کہ جون کا پیلڈ وہ والٹس کو ٹارگٹ کرتا تھا جن میں 100,000 ڈالر سے زائد رقم موجود تھی اور بار بار ڈیجیٹل اجازت کی درخواست کرتا تھا۔ ایک منظور شدہ اجازت Polymarket کے ریلیر کے ذریعے گزری، جو دستخط شدہ اقدامات جمع کرتا ہے۔
ہڈسن راک کے اکتوبر کے تجزیہ میں DebugBear سے منسلک ایک URL سے حاصل کیا گیا کوڈ بیان کیا گیا جو لاگ ان سیشن کے اندر فعال ٹریڈنگ کلائنٹ اور سائنر کو تلاش کرتا تھا۔ سائنر وہ کمپوننٹ ہے جو کرپٹوگرافک اجازت کا درخواست دیتا ہے۔ ہڈسن راک نے پایا کہ اس اسکرپٹ کا پروگرام شدہ رویہ اکاؤنٹ کے قسم کے لحاظ سے مختلف تھا۔ ایک شاخ نے پوزیشن ٹوکنز کے ٹرانسفر کی درخواست کی؛ دوسری شاخ نے فروخت کے بعد منافع کے ٹرانسفر کی درخواست کی۔ ہڈسن راک نے پیداواری بِلڈ میٹا ڈیٹا بھی شناخت کیا جس میں DebugBear مانیٹرنگ اسکرپٹ کو ختم کرنے کا ذکر تھا۔ تاہم، ہڈسن راک کا سٹیٹک تجزیہ ثابت نہیں کر سکا کہ کوڈ نے عمل میں آیا، خاموشی سے دستخط حاصل کیے یا پرائیویٹ کلوز چوری کیے۔ تجزیہ نے متاثرین سے وصول کنندگان تک مکمل راستہ بھی قائم نہیں کیا۔ ختم کرنے والے میٹا ڈیٹا سے یہ بھی واضح نہیں ہوتا کہ صارفین کی اندرونی خطرے کب ختم ہوئی۔
جون کا مارکیٹنگ ڈیپینڈنس اور اکتوبر کا مانیٹرنگ سے متعلق اسکرپٹ، فنانشل طور پر حساس انٹرفیس تک مختلف راستے فراہم کرتے ہیں۔ جون کے میکنزم کے مطابق، منظور شدہ اجازت ناموں پر انحصار کیا جاتا تھا، جبکہ اکتوبر کے کوڈ نے ٹریڈنگ ٹولز کی درخواست کی اور دستخطوں کی اجازت مانگی۔ صرف ایک متاثرہ سپلائر کو تبدیل کرنا ویب سائٹ کے اندر فنانشل فنکشنز تک ملیشیس کوڈ کے پہنچنے کے وسیع مسئلے کا حل نہیں ہے۔ دہرائے جانے والے حملوں سے یہ سوال اٹھتا ہے کہ باہری کوڈ ٹریڈر کے براؤزر کے ذریعے فنانشل اتھارٹی تک کس حد تک پہنچ سکتا ہے۔
MDN کی براؤزر ڈاکیومنٹیشن کہتی ہے کہ ایک تیسری طرف کا اسکرپٹ جو براہ راست صفحے میں لوڈ کیا جاتا ہے، اس صفحے پر دیگر اسکرپٹس اور ڈیٹا تک رسائی حاصل کر سکتا ہے۔ MDN یہ بھی واضح کرتی ہے کہ اسکرپٹ کو کہیں اور ہوسٹ کرنا اس رسائی کو ختم نہیں کرتا، جبکہ الگ فریم میں کراس-آرجن کنٹینٹ کا الگ سیکورٹی باؤنڈری ہوتا ہے۔ باہری کوڈ کو کم کرنا، سائنچر ریکسٹس کو محدود کرنا اور ڈاؤن لوڈ کردہ فائلز کی جانچ پڑتال حملے کے مختلف مراحل کو حل کرتی ہے۔ ٹریڈنگ اور سائننگ صفحات سے غیر ضروری انٹیگریشنز کو ختم کرنا ان ماحولات میں داخل ہونے والے باہری کوڈ کو کم کرتا ہے۔ سائنر کی رسائی کا جائزہ لینا اور ان اقدامات کی شناخت جن کے لیے نئی صارف تصدیق درکار ہے، اس بات کو محدود کرتا ہے کہ اسکرپٹ حصول کے بعد کون سے ریکسٹس کر سکتا ہے۔
ساب ریسورس انٹیگرٹی براؤزرز کو ڈاؤن لوڈ کردہ اسکرپٹس کو توقع کیے گئے کرپٹوگرافک فنگر پرنٹ کے ساتھ چیک کرنے اور تبدیل شدہ فائلز کو مسترد کرنے کی اجازت دیتی ہے۔ ساب ریسورس انٹیگرٹی ایک مناسب طور پر پن کردہ وسائل کو بھی ایک معتبر ڈومین پر میزبانی کرتے ہوئے محفوظ رکھ سکتی ہے۔ ایک تفصیلی پوسٹ مارٹم جس میں ایکسپوژر پیریڈ، متاثرہ اکاؤنٹس اور اتھارائزیشن راستوں کا جائزہ لیا گیا ہو، باقی خطرے کا جائزہ لینے میں مدد کرے گا۔ کیا کوئی اور متاثرہ انٹیگریشن ٹریڈنگ انٹرفیس تک رسائی کو قابل استعمال فنانشل اتھارائزیشن میں تبدیل کر سکتی ہے، ابھی حل نہیں ہوا ہے۔