Polymarket đã tái khởi động giao dịch vào ngày 29 tháng 10 sau khi một nhà cung cấp bên thứ ba bị xâm phạm làm gián đoạn thị trường dự đoán quốc tế. Sự cố này đánh dấu vụ vi phạm bảo mật trị giá hàng triệu đô la thứ hai của Polymarket trong vòng bốn tháng. Nhật ký sự cố chính thức của Polymarket ghi nhận thời điểm bắt đầu hạn chế giao dịch là 18:05 UTC và thời điểm khắc phục là 19:05 UTC. Polymarket cho biết vấn đề đã được khắc phục và cơ quan thực thi pháp luật đã được thông báo. Polymarket cũng cam kết bồi thường đầy đủ cho người dùng bị ảnh hưởng.
Bubblemaps, một công ty phân tích blockchain, ước tính vụ xâm phạm ngày 29 tháng 10 đã ảnh hưởng đến hơn 700 người dùng Polymarket và làm mất khoảng 3,46 triệu USD tài sản. Những kẻ tấn công đã đổi khoảng 2,7 triệu USD lấy POL và chuyển số tiền này ra ngoài. Một khoản 750.000 USD còn lại trên Polymarket khi tiến hành đánh giá.
Polymarket tiết lộ vào ngày 25 tháng Sáu rằng một nhà cung cấp bị xâm phạm đã kích hoạt việc chèn mã độc. Polymarket cho biết phụ thuộc bị ảnh hưởng đã được gỡ bỏ và cam kết hoàn tiền đầy đủ. Source Defense báo cáo tổn thất khoảng 3 triệu USD từ cuộc tấn công vào tháng Sáu. Source Defense xác định nguồn gốc là một thẻ tiếp thị tải về thư viện danh tính bên ngoài, mà kẻ tấn công đã thay thế bằng một trình rút tiền được thiết kế riêng cho Polymarket. Các nhà nghiên cứu của Source Defense cho biết payload tháng Sáu nhắm vào các ví chứa hơn 100.000 USD và liên tục yêu cầu xác thực kỹ thuật số. Một xác thực được phê duyệt sẽ đi qua relayer của Polymarket, nơi gửi các hành động đã ký.
Phân tích tháng Mười của Hudson Rock mô tả mã thu được từ một URL liên quan đến DebugBear, nhằm tìm kiếm client giao dịch và signer đang hoạt động trong phiên đã đăng nhập. Signer là thành phần yêu cầu xác thực mã hóa. Hudson Rock phát hiện rằng hành vi được lập trình của script thay đổi tùy theo loại tài khoản. Một nhánh yêu cầu chuyển các token vị thế; nhánh khác yêu cầu bán hàng, sau đó chuyển số tiền thu được. Hudson Rock cũng xác định được siêu dữ liệu bản dựng sản xuất ghi lại việc gỡ bỏ script giám sát DebugBear. Tuy nhiên, phân tích tĩnh của Hudson Rock không chứng minh được mã đã được thực thi, nhận chữ ký một cách im lặng hoặc đánh cắp khóa riêng. Phân tích cũng không thiết lập được toàn bộ chuỗi từ nạn nhân đến người nhận. Siêu dữ liệu về việc gỡ bỏ không xác định chính xác thời điểm người dùng hết bị phơi nhiễm.
Các kịch bản được cung cấp vào tháng Sáu liên quan đến tiếp thị và tháng Mười liên quan đến giám sát đã cung cấp các con đường khác nhau để truy cập vào giao diện nhạy cảm về mặt tài chính. Cơ chế tháng Sáu được báo cáo là phụ thuộc vào các sự ủy quyền đã được phê duyệt, trong khi mã tháng Mười tìm kiếm các công cụ giao dịch và yêu cầu chữ ký. Việc thay thế nhà cung cấp bị xâm phạm đơn lẻ không giải quyết được vấn đề rộng lớn hơn là mã độc hại có thể tiếp cận các chức năng tài chính trên trang web. Các vụ vi phạm lặp đi lặp lại đặt ra câu hỏi về quyền hạn tài chính mà mã bên ngoài có thể truy cập thông qua trình duyệt của người giao dịch.
Tài liệu trình duyệt của MDN cho biết một script bên thứ ba được tải trực tiếp vào trang có thể truy cập vào các script và dữ liệu khác trên trang đó. MDN giải thích rằng việc lưu trữ script ở nơi khác không loại bỏ quyền truy cập đó, trong khi nội dung cross-origin trong một khung riêng biệt có ranh giới bảo mật khác. Giảm thiểu mã bên ngoài, giới hạn yêu cầu chữ ký và kiểm tra các tệp đã tải về giúp xử lý các giai đoạn khác nhau trong chuỗi tấn công. Việc loại bỏ các tích hợp không cần thiết khỏi các trang giao dịch và ký giúp hạn chế mã bên ngoài được phép vào các môi trường này. Xem xét quyền truy cập của người ký và xác định các hành động cần xác nhận mới từ người dùng giúp giới hạn các yêu cầu mà mã có thể thực hiện sau khi đã có quyền truy cập.
Subresource Integrity cho phép trình duyệt kiểm tra các script đã tải về so với dấu vân tay mã hóa mong đợi và từ chối các tệp bị thay đổi. Subresource Integrity cũng có thể bảo vệ tài nguyên được gắn kết phù hợp được lưu trữ trên miền đáng tin cậy. Một bài phân tích chi tiết về thời gian bị phơi nhiễm, các tài khoản bị ảnh hưởng và các tuyến đường ủy quyền sẽ giúp đánh giá rủi ro còn lại. Vấn đề liệu một tích hợp bị xâm phạm khác có thể chuyển đổi quyền truy cập giao diện giao dịch thành quyền tài chính có thể sử dụng hay không vẫn chưa được giải quyết.