Hakerlər ələ keçirilmiş DebugBear skripti vasitəsilə Polymarket treyderlərindən təxminən $2.7 milyon oğurladı

Hakerlər oktyabrın 29-da proqnoz bazarının saytındakı zərərli kod bəzi daxil olmuş istifadəçilərin mövqelərini satıb vəsaitləri hücumçulara köçürdükdən sonra Polymarket treyderlərindən təxminən $2,7 milyon oğurladı. Kod Polymarketin xarici şirkət DebugBear-dan yüklədiyi səhifə sürəti skriptini əvəz etdi. Polymarket 726 zərər çəkmiş cüzdana təxminən $2,7 milyon qaytardığını bildirir.

Ələ keçirilmiş skript necə işlədi

Hudson Rock tədqiqatçıları oktyabrın 29-da Polymarket saytının DebugBear skriptini yüklədiyi ünvandan zərərli faylı yüklədilər. Onlar həmçinin DebugBear skriptini silən Polymarket sayt kodundakı dəyişikliyi tapdılar. DebugBear DNS qeydlərinin domen qeydiyyatçısı vasitəsilə pozulduğunu bildirdi. İlk tapıntıları hücumun bir müştərinin saytını hədəf aldığını göstərir və öz sistemlərinə daxil olma əlaməti görməyib, amma hələ araşdırır.

Hudson Rock faylı işə salmadan yoxladıqdan sonra kodun açıq Polymarket səhifəsində daxil olmuş treyderin artıq malik olduğu girişdən yenidən istifadə etdiyini tapdı. O, brauzerdə saxlanılan hesab məlumatlarını, o cümlədən ticarət API açarlarını oxudu. Bu açarlar təkbaşına sifariş verə bilməz, çünki sifarişlər üçün həmçinin cüzdan imzası lazımdır. Kod sifariş verən Polymarket sayt hissəsini və əməliyyatları təsdiqləyən imzalayıcını axtardı. Öz kripto cüzdanı ilə daxil olan hesablar üçün mövqeləri hakerlərin cüzdanına köçürdü. E-poçt hesabları üçün mövqeləri getdikcə daha pis qiymətlərlə satıb pulu çıxardı.

Vəsaitlər və qaytarmalar

Blokçeyn qeydləri göstərir ki, təxminən $2,64 milyon dəyərində kripto bir saatdan az müddətdə hakerlərin cüzdanına çatdı. Ohey-in blokçeyn izinə görə, cüzdan 33 cüzdandan 28,6 milyon POL tokeni və mövqe topladı. 18:19 UTC vaxtında DefiPrime hesabladı ki, bu 28,6 milyon POL DefiLlama-nın $0,0922 qiyməti ilə təxminən $2,64 milyon dəyərində idi. Rəqəm yalnız POL-u əhatə edir, mövqeləri yox.

Polymarket istifadəçi cüzdanlarındakı icazəsiz fəaliyyət barədə ilk status yeniləməsini 17:38 UTC-də paylaşdı. 18:05 UTC-də birjasının yalnız ləğv rejimində olduğunu, relayer əməliyyatlarının dayandırıldığını bildirdi. Şirkət skripti bir saat ərzində sildiyini, bütün keşi təmizlədiyini, bütün aktiv giriş sessiyalarını sıfırladığını və sayt təmizlənənədək ticarəti dayandırdığını dedi. Məsələni hüquq-mühafizə orqanlarına təqdim etdi. Oktyabrın 30-na qədər 726 zərər çəkmiş cüzdanın 689-u tamamilə qaytarıldı, qalan 37-si yoxlanıldıqca ödənilirdi. Polymarket həmçinin ticarət fasiləsi zamanı pul itirən və ya mövqeləri alınan təxminən 5 500 cüzdana $1,19 milyon ödəyir. Ümumilikdə treyderlərə $3,9 milyon qaytarır.

Saytlar və treyderlər nə edə bilər

DebugBear real istifadəçi monitorinqi məhsulunun müştərilərinə saytlarından onun daxil edilən kodunu silməyi tapşırdı. Zərərli faylı verən ünvan, cdn.debugbear[.]com, noyabrın 1-də yoxlananda DNS qeydi yox idi. Polymarket üçüncü tərəf skriptlərini daha güclü Content Security Policy, sabitlənmiş versiyalar və sandboxing kimi əlavə yoxlamalarla yenidən yerləşdirdiyini bildirdi.

Hudson Rock xarici skriptlər yükləyən saytlara məsləhət görür ki, istifadəçilərin ticarət etdiyi və ya imzaladığı səhifələrdən lazımsız üçüncü tərəf kodunu uzaq tutsunlar. Faylı sabitləmək mümkün olan yerdə brauzerin məzmunu dəyişsə faylı rədd etməsinə imkan verən Subresource Integrity-dən istifadə edin. Hudson Rock treyderlərə gözləmədikləri hər hansı imzalama sorğusunu rədd etməyi məsləhət görür.

Mənbələr: The Hacker News