Polymarket anuncia que devolverá 3,9 millones de dólares a sus operadores tras un ataque en el que se cargó código malicioso a través de un servicio de terceros, según informó SecurityWeek el 2 de noviembre. Los pagos cubren el robo directo y las pérdidas derivadas de operaciones no autorizadas y de la suspensión de la negociación, mientras que el proveedor de monitorización web DebugBear ha revelado que los atacantes comprometieron sus registros de dominio.
El 29 de octubre, Polymarket suspendió la negociación en su plataforma internacional tras recibir reportes de usuarios sobre retiros no autorizados. Los investigadores de Hudson Rock vincularon la actividad con JavaScript malicioso servido desde una dirección de DebugBear que cargaba el sitio web de Polymarket.
En la actualización del 30 de octubre, Polymarket indicó que 726 billeteras resultaron afectadas. Todas menos 37 ya habían sido compensadas en su totalidad en ese momento, y los pagos a las restantes estaban pendientes de verificar sus datos. El número de billeteras no equivale necesariamente al de operadores individuales.
La empresa también pagará 1,19 millones de dólares a unas 5.500 billeteras para compensar a los operadores perjudicados por la suspensión o cuyas posiciones fueron vendidas o transferidas por el script malicioso. Sumados unos 2,7 millones de dólares robados directamente, Polymarket cifra el pago total en 3,9 millones de dólares.
El código malicioso aprovechó sesiones de negociación ya abiertas
Hudson Rock constató que el script tenía como objetivo a los operadores que habían iniciado sesión, revisaba sus carteras y, después, vendía posiciones o trasladaba activos a una billetera elegida por el atacante. Para ello utilizaba los permisos de negociación que ya estaban disponibles en la sesión abierta del navegador.
El código también leyó datos de credenciales almacenados en el navegador, aunque Hudson Rock no encontró indicios de que enviara contraseñas, frases semilla ni claves privadas al atacante. El mecanismo observado permitía operar sin autorización a través de una sesión existente, sin necesidad de exportar esos secretos.
Polymarket afirmó que eliminó al proveedor externo comprometido en menos de una hora y que investiga el caso junto con las fuerzas de seguridad. Ha prometido un informe postmortem. La empresa no ha revelado el nombre del proveedor.
DebugBear informa del compromiso de sus registros de dominio
DebugBear suministra un script de monitorización de experiencia real de usuario (RUM), que los sitios web integran para medir el rendimiento de carga de las páginas de sus visitantes. La empresa afirmó que los atacantes comprometieron sus registros DNS —los que dirigen el tráfico de internet— a través de su registrador de dominios, el servicio que gestiona el registro de sus dominios. También indicó que no podía recibir correos enviados a su dominio.
Las conclusiones preliminares de DebugBear sugieren que los atacantes tenían como objetivo específico el sitio web de un cliente, aunque no identificó a ese cliente. La investigación sobre cómo los atacantes obtuvieron acceso a nivel de registrador sigue en curso; la empresa afirmó no haber encontrado indicios de que sus sistemas internos hubieran sido comprometidos.
Polymarket ya había informado en junio de la vulneración de un proveedor externo que inyectó un script malicioso en el frontend de su sitio web, con robos reportados de unos 3 millones de dólares.
A los operadores de sitios web que usan el script de monitorización de DebugBear, la primera indicación del proveedor fue eliminar el código de integración.
