متسللون يسرقون نحو 2.7 مليون دولار من متداولي Polymarket عبر سكربت DebugBear مختطف

سرق متسللون نحو 2.7 مليون دولار من متداولي Polymarket بعد أن باع كود خبيث على موقع سوق التنبؤات مراكز بعض المستخدمين المسجلين ونقل أموالاً إلى المهاجمين في 29 أكتوبر. استبدل الكود سكربت سرعة صفحة حمّله Polymarket من شركة خارجية هي DebugBear. تقول Polymarket إنها ترد نحو 2.7 مليون دولار إلى 726 محفظة متأثرة.

كيف عمل السكربت المختطف

في 29 أكتوبر، نزّل باحثون في Hudson Rock الملف الخبيث من العنوان الذي استخدمه موقع Polymarket لتحميل سكربت DebugBear. كما وجدوا تغييراً في كود موقع Polymarket أزال سكربت DebugBear. قالت DebugBear إن سجلات DNS الخاصة بها جرى اختراقها عبر مسجل النطاق الخاص بها. تشير نتائجها المبكرة إلى أن الهجوم استهدف موقع عميل واحد، ولم تجد أي مؤشر على اختراق أنظمتها، مع أنها لا تزال تبحث.

وجد Hudson Rock بعد مراجعة الملف دون تشغيله أن الكود أعاد استخدام وصول كان لدى المتداول المسجل أصلاً في صفحة Polymarket مفتوحة. قرأ تفاصيل الحساب المحفوظة في المتصفح، بما في ذلك مفاتيح API للتداول. لا يمكن لهذه المفاتيح وحدها إنشاء طلب لأن الطلبات تحتاج أيضاً إلى توقيع المحفظة. بحث الكود عن جزء موقع Polymarket الذي يضع الطلبات وعن الموقّع الذي يوافق على المعاملات. بالنسبة للحسابات التي تسجل الدخول بمحفظة عملات مشفرة خاصة بها، نقل المراكز إلى محفظة المهاجمين. بالنسبة لحسابات البريد الإلكتروني، باع المراكز بأسعار أسوأ باستمرار ونقل الأموال خارجاً.

الأموال والتعويضات

تظهر سجلات البلوكتشين أن عملات مشفرة بقيمة نحو 2.64 مليون دولار وصلت إلى محفظة المهاجمين في أقل من ساعة. جمعت المحفظة 28.6 مليون توكن POL ومراكز من 33 محفظة، بحسب تتبع Ohey على البلوكتشين. في 18:19 بالتوقيت العالمي المنسق، كانت قيمة 28.6 مليون POL تلك نحو 2.64 مليون دولار بسعر DefiLlama البالغ 0.0922 دولار، وفق حساب DefiPrime. يغطي هذا الرقم POL فقط، وليس المراكز.

نشرت Polymarket تحديث حالتها الأول عن نشاط غير مصرح به في محفظات المستخدمين في 17:38 بالتوقيت العالمي المنسق. في 18:05 بالتوقيت العالمي المنسق، قالت إن بورصتها كانت في وضع الإلغاء فقط، مع توقف عمليات المرحّل (relayer). قالت الشركة إنها أزالت السكربت خلال ساعة، ومسحت كل ذاكرة التخزين المؤقت، وأعادت تعيين كل جلسات تسجيل الدخول النشطة، وأوقفت التداول حتى تم تنظيف الموقع. كما أحالت القضية إلى جهات إنفاذ القانون. بحلول 30 أكتوبر، جرى تعويض 689 من 726 محفظة متأثرة بالكامل، والـ37 المتبقية كانت تُدفع مع فحصها. كما تدفع Polymarket 1.19 مليون دولار إلى نحو 5,500 محفظة خسرت أموالاً أثناء توقف التداول أو أُخذت مراكزها. إجمالاً، ترد 3.9 مليون دولار إلى المتداولين.

ما يمكن للمواقع والمتداولين فعله

أبلغت DebugBear عملاء منتج مراقبة المستخدمين الفعليين لديها بإزالة كود تضمينها من مواقعهم. لم يكن للعنوان الذي قدم الملف الخبيث، cdn.debugbear[.]com، أي سجل DNS عند فحصه في 1 نوفمبر. قالت Polymarket إنها تعيد وضع سكربتات من جهات خارجية مع فحوصات إضافية، مثل سياسة أمان محتوى أقوى، ونسخ مثبتة، وتشغيل في بيئة معزولة (sandboxing).

نصيحة Hudson Rock للمواقع التي تحمّل سكربتات من جهات خارجية هي إبقاء كود جهات خارجية غير الضروري خارج الصفحات التي يتداول فيها المستخدمون أو يوقّعون. عندما يمكن تثبيت ملف، استخدم Subresource Integrity، الذي يتيح للمتصفح رفض الملف إذا تغير محتواه. نصيحة Hudson Rock للمتداولين هي رفض أي طلب توقيع لم يتوقعوه.

المصادر: The Hacker News