Polymarket ha confermato venerdì che un fornitore terzo compromesso ha permesso agli attaccanti di iniettare codice malevolo nel suo frontend, drenando circa $3 milioni da meno di 15 account utente.
La piattaforma afferma che rimborserà completamente tutti gli utenti colpiti.
Cosa è successo
L'attacco è stato segnalato per la prima volta dal ricercatore di sicurezza on-chain Specter, che ha pubblicato che una apparente campagna di phishing aveva drenato fondi da più di 11 portafogli vittima che detenevano il stablecoin PUSD di Polymarket.
All'epoca, stimavano le perdite a $2,94 milioni, con PeckShield che confermava la cifra poco dopo e notava che l'attaccante aveva trasferito i fondi rubati da Polygon a Ethereum e li aveva convertiti in 1.893 ETH.
Il mercato delle previsioni ha riconosciuto la violazione attraverso uno dei suoi account ufficiali, Polymarket Traders.
“Questa mattina abbiamo scoperto che un fornitore terzo era stato compromesso, iniettando uno script malevolo nel nostro frontend per alcuni utenti. Abbiamo contenuto la situazione e rimosso la dipendenza colpita,” ha scritto su X. “Stiamo contattando gli utenti colpiti e rimborsandoli completamente.”
William LeGate, che lavora a stretto contatto con la piattaforma, ha ribadito la notizia riguardo al risarcimento, ripetendo che il problema era stato risolto e che gli utenti colpiti avrebbero riavuto indietro i loro soldi per intero.
Un altro account di sicurezza blockchain, GoPlus Security, ha descritto l'incidente come un attacco alla catena di approvvigionamento. Ha affermato che il codice malevolo ha colpito circa 15 account, con perdite totali di 3 milioni di dollari, una conclusione raggiunta anche da Bubblemaps, che ha elogiato la risposta di Polymarket dopo che le perdite sono state contenute.
Un Problema Ricorrente
Questa non è la prima volta che Polymarket viene colpita. Il mese scorso, la piattaforma ha rivelato un'altra violazione in cui un wallet admin utilizzato per i rifornimenti di premi ai dipendenti è stato svuotato di circa 700.000 dollari, probabilmente a causa di una compromissione della chiave privata. Inizialmente, il detective crypto ZachXBT aveva stimato le perdite intorno ai 520.000 dollari, con Bubblemaps che successivamente citava la cifra più alta dopo aver tracciato i fondi attraverso diversi indirizzi.
Lo sviluppatore Josh Stevens ha confermato all'epoca che una chiave privata di 6 anni era stata esposta attraverso una configurazione interna e che l'azienda aveva da allora ruotato le credenziali e si era spostata verso servizi di gestione delle chiavi. Tuttavia, quell'incidente non ha toccato i fondi degli utenti o i contratti principali.
Sebbene i due incidenti abbiano coinvolto metodi di attacco diversi, entrambi hanno preso di mira sistemi al di fuori dei mercati di previsione di Polymarket. Inoltre, l'ultimo è avvenuto in un momento in cui la piattaforma sta già affrontando altre difficoltà reputazionali, inclusa una recente relazione del Wall Street Journal, che affermava che aveva pagato creatori di contenuti di età universitaria tra $2,000 e $3,000 al mese per pubblicare video di scommesse simulate su versioni fittizie del sito web di Polymarket, senza che nemmeno uno dei oltre 1,100 clip fosse rintracciabile a un'attività reale sulla blockchain.
C'è stata anche un'altra controversia all'inizio di questo mese quando un trader ha affermato di aver perso $500,000 dopo che il servizio di previsione ha presumibilmente cambiato le regole di risoluzione per un mercato legato alla vendita di Bitcoin di Strategy.
Fonte: CryptoPotato
