Polymarket призупинила торгівлю після зламу стороннього провайдера

Polymarket 29 жовтня перевела біржу в режим cancel-only і поставила на паузу relayer після скарг користувачів на списання коштів без дозволу. Компанія пояснила, що зламали стороннього постачальника, і пообіцяла компенсувати збитки.

Історія корисна кожному, хто тримає гроші на web3-платформах. Гаманець може лишатися цілим, а кошти зникають через чужий скрипт на сторінці сайту.

Що саме сталося?

Користувачі почали писати, що гроші йдуть з акаунтів без їхньої згоди. Статус-сторінка показала масштабний збій торгового API. Біржа працювала лише на скасування: наявні ордери зняти можна, нові розмістити ні. Relayer, сервіс, який передає підписані користувачами транзакції в блокчейн, теж зупинили.

Пізніше Polymarket підтвердила в X, що один зі сторонніх провайдерів зламали. Справу передали правоохоронцям, а постраждалим пообіцяли повне відшкодування. Причину інциденту компанія не назвала.

Як працює така атака?

Сайти рідко складаються лише з власного коду. На сторінку зазвичай підтягують чужі скрипти: аналітику, чати підтримки, моніторинг швидкості. У браузері такий скрипт має ті самі права, що й код платформи, тож підміна одного файлу дає доступ до всього, що бачить сторінка.

Дослідники Hudson Rock повідомили, що скрипт із сервісу DebugBear (він вимірює продуктивність сайтів) містив шкідливий код. Ось що він робив:

• Шукав сесію: перевіряв, чи в браузері є активна торгова сесія залогіненого користувача.
• Намагався продати відкриті позиції.
• Переказував отримані активи на адресу нападника.
• Мав запасного одержувача: ту саму адресу, зашиту прямо в код скрипта.

Куди пішли гроші?

За даними Arkham, гаманець, який позначили як адресу нападника, тримає близько $2,65 млн у POL, рідному токені Polygon. Він кілька разів обміняв USDC.e, мостову версію USDC, на POL через сервіс Relay. Перші транзакції з'явилися приблизно за годину до публікації Decrypt, а за кілька хвилин гаманець затих.

У виробничому коді Polymarket, за словами Hudson Rock, лишився запис про видалення цього скрипта. Як почалася компрометація і скількох користувачів вона зачепила, фірма не встановила.

Чи це вперше для Polymarket?

Ні. У травні витік приватного ключа спустошив внутрішній гаманець поповнення приблизно на $700 000. Місяцем пізніше скомпрометований сторонній постачальник дав хакерам вставити шкідливий код у фронтенд, і з менш ніж 15 акаунтів пішло близько $3 млн. Тоді Polymarket теж обіцяла повернути користувачам усе.

Виходить три випадки за півроку, і у двох із них слабким місцем став підрядник.

Що робити користувачам таких платформ?

Ніхто не застрахований від зламу чужого скрипта, але втрати можна обмежити. Тримайте на торговій платформі лише ту суму, яка потрібна для ставок. Основні кошти краще зберігати окремо, у власному гаманці на кшталт MetaMask або в апаратному гаманці.

Polymarket обіцяє компенсації, але кількість постраждалих і сума збитків поки невідомі. Деталі розслідування покажуть, чи справді проблема лише в одному постачальнику.