Криптовалютная платформа рынков прогнозов Polymarket раскрыла размер компенсаций после атаки 29 октября: трейдерам вернут $3,9 млн. Из них $2,7 млн приходится на выведенные активы, ещё $1,2 млн — на потери из-за временной остановки торгов.
Атакующие скомпрометировали внешний скрипт мониторинга производительности, который Polymarket загружала в браузеры посетителей. Компания не назвала поставщика, однако исследователи связали вредоносный код с британским сервисом DebugBear. Сервис подтвердил инцидент и попросил клиентов удалить его код со своих сайтов.
Скрипт искал пользователей, которые оставались авторизованы на Polymarket.com, проверял их позиции и балансы, а затем пытался продать активы или перевести токены злоумышленникам. Для этого он использовал права уже открытой торговой сессии без отдельного взлома криптокошелька или получения секретной фразы.
Читайте также
Polymarket удалила заражённый компонент, очистила кеши и приостановила торги и обработку транзакций. Международная площадка вернулась к работе примерно через час. Отдельная американская платформа Polymarket US не пострадала.
Компания сообщила, что полностью возместила потери 95% затронутых кошельков. Большинству пользователей не нужно подавать заявку: получателей и суммы определяют по блокчейну и истории торгов. Polymarket также компенсирует стоимость принудительно проданных позиций и потери трейдеров во время остановки торгов. Bubblemaps оценивал число пострадавших примерно в 700 пользователей; позднее сообщалось о 726 затронутых кошельках.
После атаки Polymarket пообещала усилить контроль целостности внешних скриптов, закреплять их версии, изолировать выполнение и постоянно проверять подключённые компоненты. Компания передала сведения об инциденте правоохранительным органам.