Взлом Polymarket: как украли $2,65 млн и что известно сейчас

29 октября с кошельков трейдеров Polymarket начали уходить средства: вредоносный скрипт на сайте сам продавал позиции пользователей и выводил деньги на адрес атакующего. По данным Arkham, которые приводит The Block, у предполагаемого злоумышленника оказалось около $2,65 млн в токенах POL. Polymarket на час перевела биржу в режим «только отмена», заявила, что взломан сторонний подрядчик, и пообещала пострадавшим полную компенсацию.

Что известно сейчас

• По словам Polymarket, скомпрометирован сторонний подрядчик (страница статуса); по разбору Hudson Rock, атака шла через его код на сайте polymarket.com, а не через смарт-контракты.
• У атакующего около $2,65 млн в POL (Arkham через The Block). Общую сумму ущерба и число пострадавших Polymarket не назвала.
• Hudson Rock связывает атаку со скриптом сервиса мониторинга скорости сайтов DebugBear (Infostealers). Сама Polymarket подрядчика не называла, DebugBear публично не комментировала.
• Проблему, по словам компании, нашли и устранили. Дело передано правоохранителям, торги возобновились около 22:00 МСК (BNO News).
• Polymarket обещает возместить потери всем пострадавшим. Сроки и порядок выплат пока не объявлены.

Как это произошло

Это атака через цепочку поставок: взломан не сам Polymarket, а сервис, чей код подключён к сайту. По разбору Hudson Rock, файл cdn.debugbear.com/C7xcKKrjUnXK.js (15 187 байт) делал на сайте Polymarket следующее:

• брал из хранилища браузера данные сессии вошедшего пользователя;
• находил в коде страницы торговый клиент Polymarket и смотрел портфель;
• у одних типов аккаунтов сразу переводил токены позиций, у других сначала выставлял ордера на продажу по всё более невыгодным ценам, а потом выводил остаток;
• подписывал пакетные переводы (сообщения EIP-712 DepositWallet для Polygon) через подписанта, уже подключённого в браузере, и отправлял их в релеер Polymarket.

Пользователю не нужно было ничего подтверждать вручную: хватало открытого сайта с активной сессией. Поэтому Polymarket остановила и торги, и релеер, через который проходили эти переводы.

Хроника

29 октября, около 20:30 МСК. По данным BNO News, с кошельков пользователей начинают автоматически уходить средства.

29 октября, 20:59 МСК. Polymarket собирает новую версию сайта с изменением «remove debugbear rum script». Это видно по метаданным сборки, которые опубликовала Hudson Rock.

29 октября, 21:05 МСК. На странице статуса появляется сообщение: биржа в режиме «только отмена», действия релеера приостановлены. Отменять ордера можно, новые сделки не проходят.

29 октября, 21:12 МСК. Hudson Rock скачивает вредоносный файл с CDN DebugBear. Главная страница Polymarket к этому моменту уже без ссылки на DebugBear.

29 октября, 21:37 МСК. Polymarket сообщает, что нашла и исправила проблему на международной платформе: «один из сторонних подрядчиков был скомпрометирован», дело передано правоохранителям (статус). В посте, который приводит Decrypt, компания добавляет, что все пострадавшие получат компенсацию.

29 октября, 21:41 МСК. crypto.news приводит жалобы трейдеров. Пользователь Car пишет, что у него украли $800 000, а у его знакомого около $600 000. Аккаунт StarPlatinum заявляет о $2,68 млн, но это не подтверждено.

29 октября, 21:55 МСК. Polymarket объявляет, что торги возобновятся примерно в 22:00 МСК.

29 октября, 22:00 МСК. The Block со ссылкой на Arkham сообщает про кошелёк с примерно $2,65 млн в POL.

29 октября, 22:05 МСК. Инцидент на странице статуса помечен как решённый.

Куда ушли деньги

По данным Arkham (The Block), украденные USDC.e атакующий серией обменов через сервис Relay перевёл в POL, а затем разослал по другим адресам. В скрипте как запасной получатель был зашит адрес 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 в сети Polygon. По снимку Hudson Rock, на нём было около $2,19 млн в POL и других токенах. Исследователи предупреждают, что эту сумму нельзя просто сложить с заявленными $800 000: часть средств может совпадать.

Попадали ли деньги на биржи или в миксеры, пока не сообщалось.

Что сделали команда и биржи

• Polymarket остановила торги и релеер, убрала скрипт DebugBear из сайта и примерно через час вернула торги.
• Компания передала дело правоохранителям и пообещала полную компенсацию пострадавшим.
• О заморозке средств атакующего биржами или эмитентами стейблкоинов пока не сообщалось.

Это уже третий инцидент у Polymarket за полгода. В мае утёк приватный ключ кошелька для внутренних операций, тогда вывели больше $500 000 (ForkLog). В июне через взломанного подрядчика на сайт встроили фишинговый код, ущерб составил около $3,1 млн (CoinDesk), и тогда Polymarket тоже возместила потери.

Что это значит для держателей

Пострадали те, кто был залогинен на polymarket.com, пока на сайте работал вредоносный скрипт. Сообщений о взломе самих контрактов платформы нет. Тем, кто заметил продажу позиций или переводы, которых не делал, стоит следить за официальными каналами Polymarket: порядок компенсации пока не объявлен. Остерегайтесь «помощников по возврату» в соцсетях — после взломов они обычно оказываются мошенниками.

Котировки Polymarket мы используем в сводке дня. Во время остановки торгов они могли отставать.

Это не инвестиционный совет.

Статья дополняется: мы следим за развитием событий и добавляем новые данные. Последнее обновление — 29 октября, 22:15 МСК.