Хакеры похитили у пользователей Polymarket $2,7 млн

Заметное событие всколыхнуло криптовалютные рынки. Злоумышленники вывели не менее $2,73 млн с 737 счетов пользователей Polymarket, подсчитали аналитики Bitquery. Атака произошла 29 октября через взломанного стороннего поставщика программного обеспечения, подтвердили представители площадки. We’ve identified & fixed an issue impacting our international platform, Polymarket⁠.

One of our 3rd party providers was compromised, and we have referred this to relevant law enforcement. Anyone who has been impacted will be made whole. Out of an abundance of caution, we have temporarily halted trading & are working to bring the platform back online.

Динамика рынка

Согласно расследованию Bitquery, взлом занял примерно час. С 17:10 до 18:10 UTC хакеры провели 985 операций по выводу средств через штатную инфраструктуру Polymarket. Для каждого вывода они использовали действительное разрешение, поэтому смарт-контракты принимали операции за обычные действия пользователей.

Наибольший ущерб пришелся на четыре счета — 43% от общей суммы. Крупнейшее отдельное списание составило $358 369. При этом 276 аккаунтов потеряли менее $100.

У 33 пользователей злоумышленники также забрали доли в рынках прогнозов. Bitquery не стала оценивать их в долларах, поэтому реальный ущерб может оказаться выше. Агентство со ссылкой на источник сообщило, что скомпрометированным подрядчиком стала британская компания DebugBear.

Влияние на рынки

Она предоставляет инструменты мониторинга работы сайтов. Специалисты Hudson Rock обнаружили вредоносный JavaScript-код, который распространялся через инфраструктуру поставщика. Вместо сбора данных о производительности страниц он пытался получить доступ к активным торговым сессиям Polymarket.

Программа проверяла баланс и открытые позиции пользователя, а затем находила в приложении инструменты для размещения ордеров и подписания транзакций. В зависимости от типа кошелька она пыталась продать доли в рынках либо сразу перевести токены на подконтрольный злоумышленнику адрес. Для подтверждения операций код использовал предусмотренные платформой механизмы подписания EIP-712 и службу отправки транзакций Relayer.

В изученном образце кода исследователи не нашли отдельного механизма похищения приватных ключей или сид-фраз. Главная опасность заключалась в использовании полномочий уже авторизованного пользователя. При этом специалисты пока не установили, как именно киберпреступники изначально проникли в инфраструктуру DebugBear.

Эта перемена продолжает формировать ландшафт цифровых активов.