Polymarket erklärt, nach einem Angriff mit Schadcode, der über einen Drittanbieterdienst geladen wurde, 3,9 Millionen Dollar an Trader zurückzuzahlen. SecurityWeek berichtete am 2. November darüber. Die Zahlungen decken direkten Diebstahl sowie Verluste durch unautorisierte Trades und die Handelsaussetzung ab. Zugleich hat der Website-Monitoring-Anbieter DebugBear offengelegt, dass Angreifer seine Domain-Einträge kompromittiert haben.
Polymarket setzte den Handel auf seiner internationalen Plattform am 29. Oktober aus, nachdem Nutzer unautorisierte Abhebungen gemeldet hatten. Forscher von Hudson Rock brachten die Aktivität mit bösartigem JavaScript in Verbindung, das von einer DebugBear-Adresse stammte, die die Polymarket-Website lud.
In einem Update vom 30. Oktober erklärte Polymarket, 726 Wallets seien betroffen gewesen. Bis auf 37 Wallets waren zu diesem Zeitpunkt alle vollständig entschädigt. Die Zahlungen an die übrigen Wallets standen noch unter dem Vorbehalt der Prüfung ihrer Angaben. Die Zahl der Wallets entspricht nicht zwingend der Zahl einzelner Trader.
Zusätzlich zahlt das Unternehmen 1,19 Millionen Dollar an rund 5.500 Wallets. Damit sollen Trader entschädigt werden, die durch die Aussetzung geschädigt wurden oder deren Positionen das Schadskript verkauft oder übertragen hatte. Zusammen mit den rund 2,7 Millionen Dollar, die direkt gestohlen wurden, beziffert Polymarket die Gesamtauszahlung auf 3,9 Millionen Dollar.
Schadcode nutzte bestehende Handelssitzungen
Hudson Rock stellte fest, dass das Skript eingeloggte Trader ins Visier nahm, deren Portfolios prüfte und anschließend entweder Positionen verkaufte oder Vermögenswerte auf eine vom Angreifer gewählte Wallet verschob. Dabei nutzte es die Handelsberechtigungen, die über die geöffnete Browsersitzung ohnehin verfügbar waren.
Der Code las außerdem im Browser gespeicherte, zugangsbezogene Daten aus. Hudson Rock fand jedoch keine Hinweise darauf, dass Passwörter, Seed-Phrasen oder private Schlüssel an den Angreifer übermittelt wurden. Der beobachtete Mechanismus ermöglichte unautorisierte Trades über eine bestehende Sitzung, ohne dass diese Geheimdaten exportiert werden mussten.
Polymarket erklärte, den kompromittierten Drittanbieter innerhalb einer Stunde entfernt zu haben. Das Unternehmen ermittelt zusammen mit den Strafverfolgungsbehörden und hat ein Postmortem zugesagt. Den Anbieter hat es nicht genannt.
DebugBear meldet Kompromittierung von Domain-Einträgen
DebugBear stellt ein Real-User-Monitoring-Skript bereit, das Websites einbetten, um die Ladezeiten der Seiten für Besucher zu messen. Das Unternehmen erklärte, Angreifer hätten seine DNS-Einträge – also die Einträge, die den Internetverkehr steuern – über seinen Domain-Registrar kompromittiert. Dieser Registrar ist der Dienst, über den die Domain registriert und verwaltet wird. Außerdem sei DebugBear nicht in der Lage gewesen, E-Mails zu empfangen, die an seine Domain gesendet wurden.
Erste Erkenntnisse von DebugBear deuten darauf hin, dass die Angreifer gezielt die Website eines Kunden ins Visier nahmen. Dieser Kunde wurde jedoch nicht genannt. Die Untersuchung, wie die Angreifer Zugriff auf Registrar-Ebene erlangten, dauert an. Das Unternehmen erklärte, es gebe keine Anzeichen dafür, dass seine internen Systeme kompromittiert wurden.
Polymarket hatte bereits im Juni von einer Kompromittierung eines Drittanbieters berichtet, durch die ein Schadskript in das Frontend der Website eingeschleust wurde. Der Diebstahl wurde damals auf rund 3 Millionen Dollar beziffert.
Für Website-Betreiber, die das Monitoring-Skript von DebugBear einsetzen, lautete die erste Anweisung des Anbieters an seine Kunden, den Einbettungscode zu entfernen.
