Платформа Polymarket временно остановила торги после того, как хакеры скомпрометировали сторонний сервис DebugBear и распространили через него вредоносный JavaScript. Скрипт перехватывал авторизованные сессии и пытался похитить криптовалюту пользователей. ИБ-исследователи связывают с атакой кошелек, через который прошло около 2,57 млн долларов США.
Представители Polymarket сообщают, что взлом затронул Polymarket.com, но в настоящее время компрометацию уже устранили, а всю информацию об атаке передали правоохранительным органам. Представители площадки обещают полностью компенсировать потери всем пострадавшим пользователям.
На время проведения расследования Polymarket сначала перешел в режим cancel-only, запретив новые сделки, а затем приостановил операции через релеи. Примерно через полчаса специалисты компании сообщили об устранении проблемы, однако торги на всякий случай оставили отключенными. В итоге рынок предсказаний восстановил работу примерно через час после начала инцидента.
Эксперты из компании Hudson Rock пишут, что вредоносный JavaScript распространялся с домена cdn.debugbear[.]com. DebugBear представляет собой сервис Real User Monitoring (RUM): его JavaScript встраивается на сайты и собирает метрики производительности, помогая отслеживать скорость загрузки и работу сайтов у реальных пользователей.
Вскоре представители DebugBear подтвердили, что расследуют продолжающийся ИБ-инцидент, и призвали клиентов немедленно удалить RUM-код со своих сайтов.
Анализ вредоносного скрипта показал, что тот проверял, авторизован ли посетитель в Polymarket, а при наличии активной сессии использовал штатные торговые функции платформы для несанкционированных операций. Вредонос определял балансы кошельков и позиции пользователя на рынках прогнозов, после чего выбирал способ кражи криптовалюты в зависимости от метода аутентификации.
Так, в одних случаях скрипт пытался автоматически продать позиции жертвы, в других — напрямую перевести токены на кошелек злоумышленников. Кроме того, малварь пыталась конвертировать имеющуюся у пользователя криптовалюту в другие активы, которые затем можно вывести с платформы.
Для получения команд и отправки информации об аккаунтах, адресах кошельков, балансах и результатах транзакций скрипт обращался к data.debugbear[.]com. То есть инфраструктура DebugBear использовалась не только для распространения малвари, но и в качестве управляющего сервера, а также канала для эксфильтрации данных. Пока остается неясным, какой уровень доступа к системам DebugBear получили атакующие.
Исследователи Hudson Rock отмечают, что нашли предположительно связанный с этой атакой кошелек, с которого перевели около 28,6 млн POL стоимостью примерно 2,57 млн долларов США на три других адреса.
При этом точный размер ущерба пока неизвестен: представители Polymarket не раскрывают, сколько пользователей пострадало от атаки и сколько криптовалюты удалось похитить хакерам.
