Они не взламывали Polymarket, а подменили его тест скорости: за час ушло $2,7 млн

Инцидент случился в тот же день, что и взлом Binance, и почти потерялся на его фоне. По постмортему Polymarket, площадка вернула пользователям 3,9 млн долларов. Технику атаки восстановили исследователи Hudson Rock, а масштаб посчитала блокчейн-аналитика Bitquery. Формула короткая: они не взламывали Polymarket, а просто подменили его тест скорости.

Что нового в этой атаке?

• Взломали не площадку, а её подрядчика. DebugBear делает реальный пользовательский мониторинг (RUM, скрипт, который замеряет, как быстро грузится страница у живых посетителей). По данным Search Engine Journal, вендор подтвердил взлом своих DNS-записей и попросил клиентов снять скрипт. DNS-записи работают как адресная книга интернета: они подсказывают браузеру, куда идти за файлом.
• Браузер ничего не заметил. Вредоносный JavaScript, то есть код, который выполняется прямо в браузере, приходил с того же адреса, что и обычный скрипт.
• Пароль и сид-фраза не понадобились. Сид-фраза служит секретным набором слов для восстановления кошелька. Коду хватило доступа, который уже лежал в открытой вкладке.
• Смарт-контракт не трогали. Смарт-контракт исполняет сделки в блокчейне по заранее заданным правилам. В блокчейне видно 985 несанкционированных выводов за тот час, и все прошли с валидными авторизациями кошельков.

По разбору Hudson Rock, код читал из хранилища браузера данные аккаунта, адрес кошелька и ключи торгового API (программного доступа к торговле). Потом он находил в интерфейсе подписанта, которым приложение подписывает запросы, и отправлял выводы через relayer, официальный ретранслятор торговых заявок площадки.

Дальше логика зависела от типа аккаунта. В одних случаях токены открытых позиций сразу уходили на адрес атакующего, в других позиции сначала продавались, а потом выводились свободные средства.

За час ушло около 2,7 млн долларов

Днём 29 октября пользователи начали сообщать о списаниях и принудительных продажах. По данным The Paypers, площадку сначала перевели в режим «только отмена», где заявки можно лишь снимать. Затем остановили торговлю и relayer, а примерно через час торговлю вернули.

В тот же день Polymarket сообщил, что скомпрометирован сторонний провайдер, и передал дело в правоохранительные органы. Имени провайдера в заявлении не было: DebugBear назвала пресса.

В выборке из 30 транзакций вывода каждая исполнялась через время от трёх до семи секунд после появления авторизации. Человек так быстро не кликает, работала автоматика.

Bitquery насчитала 737 кошельков с общей потерей около 2,73 млн долларов. На четыре счёта пришлось 43% ущерба, а 276 счетов потеряли меньше тысячи долларов каждый. Такое распределение больше похоже на сбор со всех, кто был онлайн, чем на охоту за крупными игроками. Средства конвертировали в токен POL и разложили по нескольким кошелькам.

Класс атаки известен. 14 декабря 2023 года злоумышленник подменил пакет в цепочке поставки библиотеки Ledger Connect Kit, и пользователи криптосервисов подписывали транзакции, которые сливали их средства.

Как проверить себя прямо сейчас?

1. Откройте историю кошелька на Polymarket за 29 октября. По постмортему, заявки на возврат не требовались: затронутые кошельки нашли автоматически по ончейн-данным и данным торгов.
2. Пересмотрите разрешения на траты (approvals), которые вы выдавали сервисам, и отзовите ненужные. В этой атаке код пользовался именно заранее выданными разрешениями.
3. Не держите торговую сессию открытой без дела. Вредоносный скрипт работал и на страницах, где пользователь уже вошёл в аккаунт.
4. Если у вас свой сайт, выпишите все сторонние скрипты и снимите те, без которых можно обойтись.

Что делать с этим прямо сейчас, по ролям

Трейдеру на Polymarket и похожих площадках. Риск может прийти не из кошелька и не из контракта, а из сторонней веб-аналитики, которую вы даже не видите. Держите на торговом аккаунте рабочую сумму, а не весь капитал.

Автору Дзена. Историю стоит разобрать для своей аудитории как пример, где взламывают «обвязку», а не главный сервис. Цифры берите из постмортема и Bitquery, не смешивая их: 2,7 млн долларов прямых потерь и 2,73 млн по ончейн-подсчёту получены разными способами.

Маркетологу и владельцу сайта. Каждый внешний скрипт, будь то замер скорости, виджет или счётчик вроде Яндекс Метрики, выполняется с правами вашей страницы. Список таких скриптов полезно держать под рукой и раз в квартал сокращать.

Частые вопросы

Polymarket взломали?

Нет. Взломали DNS-записи подрядчика, который мерил скорость страниц, а смарт-контракт площадки отработал как задумано.

Вернут ли деньги?

По постмортему, Polymarket вернул 3,9 млн долларов: 2,7 млн прямых потерь и 1,2 млн компенсации за принудительные продажи и паузу. Полный возврат 30 октября получили 95% затронутых кошельков.

При чём тут обычный сайт или канал?

Принцип тот же: чем больше чужих скриптов на странице, тем больше дверей, за которыми вы не следите. Проверьте их список раньше, чем это сделает злоумышленник.