Polymarket đã khôi phục giao dịch vào ngày 29 tháng 10 sau khi một nhà cung cấp bên thứ ba bị xâm phạm làm gián đoạn thị trường dự đoán quốc tế. Sự cố này đánh dấu vụ vi phạm bảo mật trị giá hàng triệu đô la thứ hai của Polymarket trong vòng bốn tháng. Nhật ký sự cố chính thức của Polymarket ghi nhận thời điểm bắt đầu hạn chế giao dịch là 18:05 UTC và thời điểm khắc phục là 19:05 UTC. Polymarket cho biết vấn đề đã được khắc phục và cơ quan thực thi pháp luật đã được thông báo. Polymarket cũng cam kết bồi thường đầy đủ cho người dùng bị ảnh hưởng.
Bubblemaps, một công ty phân tích blockchain, ước tính vụ xâm phạm ngày 29 tháng 10 đã ảnh hưởng đến hơn 700 người dùng Polymarket và làm tổn thất khoảng 3,46 triệu USD tài sản. Những kẻ tấn công đã đổi khoảng 2,7 triệu USD lấy POL và chuyển số tiền này ra ngoài. Một khoản 750.000 USD còn lại trên Polymarket khi tiến hành đánh giá.
Polymarket tiết lộ vào ngày 25 tháng Sáu rằng một nhà cung cấp bị xâm phạm đã kích hoạt việc chèn một script độc hại. Polymarket cho biết phụ thuộc bị ảnh hưởng đã được gỡ bỏ và cam kết hoàn tiền đầy đủ. Source Defense báo cáo tổn thất khoảng 3 triệu đô la Mỹ từ cuộc tấn công vào tháng Sáu. Source Defense xác định nguồn gốc của cuộc tấn công là một thẻ tiếp thị tải về một thư viện danh tính bên ngoài, mà kẻ tấn công đã thay thế bằng một trình rút tiền được thiết kế riêng cho Polymarket. Các nhà nghiên cứu của Source Defense cho biết payload tháng Sáu nhắm vào các ví chứa hơn 100.000 đô la Mỹ và liên tục yêu cầu xác thực kỹ thuật số. Một xác thực được phê duyệt sẽ đi qua relayer của Polymarket, nơi gửi các hành động đã ký.
Phân tích tháng Mười của Hudson Rock mô tả mã thu được từ một URL liên quan đến DebugBear, nhằm tìm kiếm client giao dịch và signer đang hoạt động trong phiên đăng nhập. Signer là thành phần yêu cầu xác thực mã hóa. Hudson Rock phát hiện rằng hành vi được lập trình của script thay đổi tùy theo loại tài khoản. Một nhánh yêu cầu chuyển các token vị thế; nhánh khác yêu cầu bán hàng rồi chuyển số tiền thu được. Hudson Rock cũng xác định được siêu dữ liệu bản dựng sản xuất ghi lại việc gỡ bỏ script giám sát DebugBear. Tuy nhiên, phân tích tĩnh của Hudson Rock không chứng minh được mã đã được thực thi, nhận chữ ký một cách im lặng hoặc đánh cắp khóa riêng. Phân tích cũng không thiết lập được toàn bộ chuỗi từ nạn nhân đến người nhận. Siêu dữ liệu về việc gỡ bỏ không xác định chính xác thời điểm người dùng hết bị phơi nhiễm.
Các kịch bản được cung cấp vào tháng Sáu liên quan đến tiếp thị và tháng Mười liên quan đến giám sát đã cung cấp các con đường khác nhau để truy cập vào giao diện nhạy cảm về mặt tài chính. Cơ chế tháng Sáu được báo cáo là phụ thuộc vào các sự ủy quyền được phê duyệt, trong khi mã tháng Mười tìm kiếm các công cụ giao dịch và yêu cầu chữ ký. Việc thay thế nhà cung cấp bị xâm phạm đơn thuần không giải quyết được vấn đề rộng lớn hơn là mã độc hại có thể tiếp cận các chức năng tài chính trên trang web. Các vụ vi phạm lặp đi lặp lại đặt ra câu hỏi về quyền hạn tài chính mà mã bên ngoài có thể truy cập thông qua trình duyệt của người giao dịch.
Tài liệu trình duyệt của MDN cho biết một script bên thứ ba được tải trực tiếp vào trang có thể truy cập vào các script và dữ liệu khác trên trang đó. MDN giải thích rằng việc lưu trữ script ở nơi khác không loại bỏ quyền truy cập đó, trong khi nội dung cross-origin trong một khung riêng biệt có ranh giới bảo mật khác biệt. Giảm thiểu mã bên ngoài, giới hạn yêu cầu chữ ký và kiểm tra các tệp đã tải về giải quyết các giai đoạn khác nhau trong chuỗi tấn công. Việc loại bỏ các tích hợp không cần thiết khỏi các trang giao dịch và ký giúp hạn chế mã bên ngoài được phép xâm nhập vào các môi trường này. Xem xét quyền truy cập của người ký và xác định các hành động cần xác nhận mới từ người dùng giúp giới hạn các yêu cầu mà mã có thể thực hiện sau khi đã có quyền truy cập.
Subresource Integrity cho phép trình duyệt kiểm tra các script đã tải về so với dấu vân tay mã hóa mong đợi và từ chối các tệp bị thay đổi. Subresource Integrity cũng có thể bảo vệ tài nguyên được ghim phù hợp được lưu trữ trên miền đáng tin cậy. Một bài phân tích chi tiết về thời gian bị phơi nhiễm, các tài khoản bị ảnh hưởng và các tuyến đường ủy quyền sẽ giúp đánh giá rủi ro còn lại. Vấn đề liệu một tích hợp bị xâm phạm khác có thể chuyển đổi quyền truy cập giao diện giao dịch thành quyền tài chính có thể sử dụng hay không vẫn chưa được giải quyết.
Polymarket trải qua vụ vi phạm bảo mật thứ hai với thiệt hại hàng triệu đô la trong bốn tháng
CryptoSlateChia sẻ
Tóm tắt
Polymarket đối mặt với vụ vi phạm bảo mật lớn thứ hai vào ngày 29 tháng 10 năm 2026, sau khi một nhà cung cấp bên thứ ba bị xâm phạm. Cuộc tấn công ảnh hưởng đến hơn 700 người dùng và 3,46 triệu USD tài sản, trong đó 2,7 triệu USD đã bị rút đi. Khối lượng giao dịch giảm mạnh trong suốt sự cố. Polymarket cam kết bồi thường đầy đủ và thông báo cho các cơ quan chức năng. Bubblemaps đã báo cáo vụ vi phạm, trong khi Hudson Rock xác định mã độc được liên kết với DebugBear. Điều này xảy ra sau một sự cố tương tự vào tháng 6 năm 2026, cũng liên quan đến một nhà cung cấp. Chỉ số nỗi sợ và tham lam của thị trường tiền điện tử kể từ đó đã giảm xuống mức giảm giá.
Nguồn:Hiển thị bản gốc
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể được lấy từ bên thứ ba và không nhất thiết phản ánh quan điểm hoặc ý kiến của KuCoin. Nội dung này chỉ được cung cấp cho mục đích thông tin chung, không có bất kỳ đại diện hay bảo đảm nào dưới bất kỳ hình thức nào và cũng không được hiểu là lời khuyên tài chính hay đầu tư. KuCoin sẽ không chịu trách nhiệm về bất kỳ sai sót hoặc thiếu sót nào hoặc về bất kỳ kết quả nào phát sinh từ việc sử dụng thông tin này.
Việc đầu tư vào tài sản kỹ thuật số có thể tiềm ẩn nhiều rủi ro. Vui lòng đánh giá cẩn thận rủi ro của sản phẩm và khả năng chấp nhận rủi ro của bạn dựa trên hoàn cảnh tài chính của chính bạn. Để biết thêm thông tin, vui lòng tham khảo Điều khoản sử dụng và Tiết lộ rủi ro của chúng tôi.