Polymarket affirme rembourser 3,9 millions de dollars aux traders à la suite d'une attaque impliquant un code malveillant chargé via un service tiers, selon SecurityWeek, qui en a fait état le 2 novembre. Ces paiements couvrent les vols directs ainsi que les pertes liées aux transactions non autorisées et à la suspension des échanges. Par ailleurs, le fournisseur de surveillance de sites DebugBear a révélé que des attaquants avaient compromis ses enregistrements de domaine.
Polymarket a suspendu les échanges sur sa plateforme internationale le 29 octobre, après que des utilisateurs ont signalé des retraits non autorisés. Les chercheurs de Hudson Rock ont relié cette activité à un JavaScript malveillant livré depuis une adresse DebugBear, chargée par le site de Polymarket.
Dans une mise à jour du 30 octobre, Polymarket a indiqué que 726 portefeuilles avaient été touchés. À ce moment-là, tous sauf 37 avaient été entièrement indemnisés, les paiements aux 37 autres étant en attente de vérification de leurs coordonnées. Le nombre de portefeuilles ne correspond pas forcément à un nombre de traders distincts.
La société verse également 1,19 million de dollars à environ 5 500 portefeuilles, afin d'indemniser les traders lésés par la suspension des échanges ou dont les positions ont été vendues ou transférées par le script malveillant. Avec les quelque 2,7 millions de dollars volés directement, Polymarket chiffre le montant total des versements à 3,9 millions de dollars.
Le code malveillant utilisait des sessions de trading existantes
Hudson Rock a constaté que le script ciblait les traders connectés, consultait leurs portefeuilles, puis vendait leurs positions ou transférait leurs actifs vers un portefeuille choisi par l'attaquant. Il utilisait les autorisations de trading déjà disponibles dans la session de navigateur ouverte.
Le code lisait également des données liées aux identifiants stockées dans le navigateur. Hudson Rock n'a toutefois relevé aucun élément indiquant qu'il ait transmis à l'attaquant des mots de passe, des phrases mnémoniques de récupération ou des clés privées. Le mécanisme observé permettait des transactions non autorisées au sein d'une session existante, sans qu'il soit nécessaire d'exporter ces secrets.
Polymarket a indiqué avoir retiré le fournisseur tiers compromis en moins d'une heure et mener une enquête avec les autorités. La société a promis un rapport post-incident, mais n'a pas nommé le fournisseur.
DebugBear signale la compromission d'enregistrements de domaine
DebugBear fournit un script de mesure de l'expérience utilisateur réelle, que les sites intègrent pour suivre les performances de chargement des pages côté visiteurs. Selon la société, les attaquants ont compromis ses enregistrements DNS, c'est-à-dire ceux qui orientent le trafic internet, via son registraire de noms de domaine, le service qui gère l'enregistrement de ses domaines. Elle a également indiqué ne plus pouvoir recevoir les courriels envoyés à son domaine.
Les premières conclusions de DebugBear suggèrent que les attaquants visaient spécifiquement le site d'un client, sans que la société ait identifié ce client. Son enquête sur la manière dont les attaquants ont obtenu un accès au niveau du registraire se poursuit. La société affirme n'avoir relevé aucun indice de compromission de ses systèmes internes.
Polymarket avait déjà signalé en juin la compromission d'un fournisseur tiers, qui avait injecté un script malveillant dans l'interface de son site, avec un vol déclaré d'environ 3 millions de dollars.
Aux exploitants de sites utilisant le script de surveillance de DebugBear, le fournisseur a d'abord demandé de retirer le code d'intégration.
