האקרים גנבו כ-2.7 מיליון דולר ממסחרים ב-Polymarket דרך סקריפט DebugBear חטוף

האקרים גנבו כ-2.7 מיליון דולר ממסחרים ב-Polymarket לאחר שקוד זדוני באתר שוק התחזיות מכר חלק מעמדות של משתמשים מחוברים והעביר כספים לתוקפים ב-29 באוקטובר. הקוד החליף סקריפט מהירות עמוד ש-Polymarket טען מחברה חיצונית בשם DebugBear. Polymarket אומרת שהיא מחזירה כ-2.7 מיליון דולר ל-726 ארנקים מושפעים.

כיצד סקריפט החטוף פעל

חוקרים מ-Hudson Rock הורידו את הקובץ הזדוני ב-29 באוקטובר מהכתובת שבה השתמש אתר Polymarket לטעינת סקריפט DebugBear. הם גם מצאו שינוי בקוד אתר Polymarket שהסיר את סקריפט DebugBear. DebugBear אמרה שרישומי ה-DNS שלה נפרצו דרך רשם הדומיינים שלה. ממצאים ראשוניים שלה מצביעים על כך שההתקפה כוונה לאתר של לקוח אחד, ולא נמצאו סימנים לפריצה למערכותיה, אף שהיא עדיין בודקת.

Hudson Rock מצא לאחר סקירת הקובץ ללא הרצתו שהקוד השתמש מחדש בגישה שהייתה כבר למסחר מחובר בעמוד Polymarket פתוח. הוא קרא פרטי חשבון השמורים בדפדפן, כולל מפתחות API למסחר. מפתחות אלה לבדם אינם מספיקים לביצוע הזמנה, מפני שהזמנות דורשות גם חתימת ארנק. הקוד חיפש את החלק באתר Polymarket שמציב הזמנות ואת החותם המאשר עסקאות. בחשבונות שנכנסים עם ארנק קריפטו משלהם, הוא העביר עמדות לארנק של ההאקרים. בחשבונות דוא"ל, הוא מכר עמדות במחירים שהלכו והורעו והעביר את הכסף החוצה.

כספים והחזרים

רשומות בלוקצ'יין מראות שקריפטו בשווי של כ-2.64 מיליון דולר הגיע לארנק של ההאקרים בפחות משעה. הארנק אסף 28.6 מיליון אסימוני POL ופוזיציות מ-33 ארנקים, לפי מעקב הבלוקצ'יין של Ohey. בשעה 18:19 UTC, אותם 28.6 מיליון POL היו שווים כ-2.64 מיליון דולר במחיר של DefiLlama של $0.0922, כך חישבה DefiPrime. הנתון מכסה רק את ה-POL, לא את הפוזיציות.

Polymarket פרסמה את עדכון הסטטוס הראשון שלה על פעילות בלתי מורשית בארנקים של משתמשים בשעה 17:38 UTC. בשעה 18:05 UTC, היא אמרה שהבורסה שלה נמצאת במצב ביטול בלבד, כשפעולות relayer מושהות. החברה אמרה שהיא הסירה את הסקריפט בתוך השעה, רוקנה כל מטמון, איפסה את כל הפעלות ההתחברות הפעילות והשהותה את המסחר עד שהאתר היה נקי. היא העבירה את המקרה לרשויות אכיפת החוק. עד 30 באוקטובר, 689 מתוך 726 הארנקים שנפגעו קיבלו החזר מלא, וה-37 הנותרים קיבלו תשלום בזמן שנבדקו. Polymarket גם משלמת 1.19 מיליון דולר לכ-5,500 ארנקים שהפסידו כסף במהלך השהיית המסחר או שנלקחו מהם פוזיציות. בסך הכול, היא מחזירה 3.9 מיליון דולר לסוחרים.

מה אתרים וסוחרים יכולים לעשות

DebugBear אמרה ללקוחות של מוצר ניטור המשתמשים האמיתיים שלה להסיר את קוד ההטמעה שלה מאתרי האינטרנט שלהם. לכתובת שהגישה את הקובץ הזדוני, cdn.debugbear[.]com, לא הייתה רשומת DNS כשנבדקה ב-1 בנובמבר. Polymarket אמרה שהיא מחזירה סקריפטים של צד שלישי למקומם עם בדיקות נוספות, כגון Content Security Policy חזקה יותר, גרסאות מוצמדות וסנדבוקס.

העצה של Hudson Rock לאתרים שטוענים סקריפטים חיצוניים היא להרחיק קוד צד שלישי שאינו נדרש מדפים שבהם משתמשים סוחרים או חותמים. כאשר ניתן להצמיד קובץ, השתמשו ב-Subresource Integrity, שמאפשר לדפדפן לדחות את הקובץ אם תוכנו משתנה. העצה של Hudson Rock לסוחרים היא לדחות כל בקשת חתימה שלא ציפו לה.

מקורות: The Hacker News