Polymarket приостановила торговлю после взлома стороннего провайдера

Polymarket 29 октября перевела биржу в режим cancel-only и поставила на паузу relayer после жалоб пользователей на списание средств без разрешения. Компания объяснила, что взломали стороннего поставщика, и пообещала компенсировать убытки.

История полезна каждому, кто держит деньги на web3-платформах. Кошелек может остаться целым, а средства исчезают из-за чужого скрипта на странице сайта.

Что именно произошло?

Пользователи начали писать, что деньги уходят с аккаунтов без их согласия. Статус-страница показала масштабный сбой торгового API. Биржа работала только на отмену: существующие ордера снять можно, новые разместить нельзя. Relayer, сервис, который передает подписанные пользователями транзакции в блокчейн, тоже остановили.

Позже Polymarket подтвердила в X, что один из сторонних провайдеров был взломан. Дело передали правоохранителям, а пострадавшим пообещали полное возмещение. Причину инцидента компания не назвала.

Как работает такая атака?

Сайты редко состоят только из собственного кода. На страницу обычно подтягивают чужие скрипты: аналитику, чаты поддержки, мониторинг скорости. В браузере такой скрипт имеет те же права, что и код платформы, поэтому подмена одного файла дает доступ ко всему, что видит страница.

Исследователи Hudson Rock сообщили, что скрипт сервиса DebugBear (он измеряет производительность сайтов) содержал вредоносный код. Вот что он делал:

• Искал сессию: проверял, есть ли в браузере активная торговая сессия залогиненного пользователя.
• Пытался продать открытые позиции.
• Переводил полученные активы на адрес атакующего.
• Имел запасного получателя: тот же адрес, зашитый прямо в код скрипта.

Куда ушли деньги?

По данным Arkham, кошелек, который пометили как адрес атакующего, держит около $2,65 млн в POL, родном токене Polygon. Он несколько раз обменял USDC.e, мостовую версию USDC, на POL через сервис Relay. Первые транзакции появились примерно за час до публикации Decrypt, а через несколько минут кошелек затих.

В производственном коде Polymarket, по словам Hudson Rock, остался след удаления этого скрипта. Как началась компрометация и скольких пользователей она задела, фирма не установила.

Это первый раз для Polymarket?

Нет. В мае утечка приватного ключа опустошила внутренний кошелек пополнения примерно на $700 000. Месяцем позже скомпрометированный сторонний поставщик позволил хакерам вставить вредоносный код во фронтенд, и с менее чем 15 аккаунтов ушло около $3 млн. Тогда Polymarket тоже обещала вернуть пользователям всё.

Получается три случая за полгода, и в двух из них слабым местом стал подрядчик.

Что делать пользователям таких платформ?

От взлома чужого скрипта никто не застрахован, но потери можно ограничить. Держите на торговой платформе только ту сумму, которая нужна для ставок. Основные средства лучше хранить отдельно, в собственном кошельке вроде MetaMask или в аппаратном кошельке.

Polymarket обещает компенсации, но число пострадавших и сумма убытков пока неизвестны. Детали расследования покажут, действительно ли проблема только в одном поставщике.