Polymarket afferma di restituire 3,9 milioni di dollari ai trader in seguito a un attacco che ha coinvolto codice malevolo caricato tramite un servizio di terze parti, come ha riportato SecurityWeek il 2 novembre. I pagamenti coprono i furti diretti e le perdite dovute a operazioni non autorizzate e alla sospensione del trading, mentre il fornitore di monitoraggio dei siti web DebugBear ha reso noto che gli attaccanti hanno compromesso i suoi record di dominio.
Polymarket ha sospeso il trading sulla propria piattaforma internazionale il 29 ottobre, dopo che gli utenti avevano segnalato prelievi non autorizzati. I ricercatori di Hudson Rock hanno collegato l'attività a uno script JavaScript malevolo distribuito da un indirizzo di DebugBear che il sito di Polymarket caricava.
Nell'aggiornamento del 30 ottobre, Polymarket ha dichiarato che erano interessati 726 wallet. Tutti tranne 37 erano già stati risarciti a quel punto, mentre i pagamenti ai restanti wallet erano in attesa di verifiche sui dati. Il numero di wallet non rappresenta necessariamente quello dei singoli trader.
La società sta inoltre pagando 1,19 milioni di dollari, distribuiti su circa 5.500 wallet, per risarcire i trader danneggiati dalla sospensione o le cui posizioni sono state vendute o trasferite dallo script malevolo. Sommando i circa 2,7 milioni di dollari sottratti direttamente, Polymarket ha fissato il totale dei pagamenti a 3,9 milioni di dollari.
Il codice malevolo ha sfruttato sessioni di trading già attive
Hudson Rock ha riscontrato che lo script prendeva di mira i trader che avevano effettuato l'accesso, controllava i loro portafogli e poi vendeva le posizioni oppure trasferiva gli asset su un wallet scelto dall'attaccante. Lo script sfruttava i permessi di trading già disponibili nella sessione aperta del browser.
Il codice leggeva anche dati relativi alle credenziali memorizzati nel browser, sebbene Hudson Rock non abbia riscontrato prove che inviasse all'attaccante password, seed phrase o chiavi private. Il meccanismo osservato consentiva operazioni non autorizzate attraverso una sessione esistente, senza che fosse necessario esportare quei dati segreti.
Polymarket ha dichiarato di aver rimosso il fornitore terzo compromesso entro un'ora e sta indagando con le forze dell'ordine. Ha promesso un'analisi post-incidente (postmortem). La società non ha reso noto il nome del fornitore.
DebugBear segnala la compromissione dei record di dominio
DebugBear fornisce uno script di real user monitoring, che i siti incorporano per misurare le prestazioni di caricamento delle pagine dei visitatori. La società ha dichiarato che gli attaccanti hanno compromesso i suoi record DNS — quelli che indirizzano il traffico internet — tramite il registrar di domini, il servizio usato per gestire la registrazione del dominio. Ha inoltre dichiarato di non riuscire a ricevere le email inviate al proprio dominio.
Le prime evidenze di DebugBear suggeriscono che gli attaccanti abbiano preso di mira specificamente il sito di un cliente, ma l'azienda non ha identificato tale cliente. L'indagine su come gli attaccanti abbiano ottenuto l'accesso a livello di registrar è ancora in corso; l'azienda ha dichiarato di non aver riscontrato indizi di una compromissione dei propri sistemi interni.
Polymarket aveva già segnalato a giugno la compromissione di un fornitore terzo, che aveva inserito uno script malevolo nel frontend del proprio sito, con furti segnalati per circa 3 milioni di dollari.
Ai gestori di siti che usano lo script di monitoraggio di DebugBear, il fornitore ha inizialmente indicato di rimuovere il codice di incorporamento.
