Հաքերները Polymarket առևտրականներից 2,7 մլն դոլար գողացան DebugBear սկրիպտով

Հաքերները մոտ 2,7 միլիոն դոլար գողացան Polymarket առևտրականներից, երբ կանխատեսումների շուկայի կայքում վնասակար կոդը վաճառեց մուտք գործած որոշ օգտատերերի դիրքերը և միջոցները տեղափոխեց հարձակվողներին հոկտեմբերի 29-ին։ Կոդը փոխարինեց էջի արագության սկրիպտը, որը Polymarket ընկերությունը բեռնում էր DebugBear արտաքին ընկերությունից։ Polymarket ընկերությունը ասում է, որ մոտ 2,7 միլիոն դոլար է վերադարձնում 726 տուժած դրամապանակներին։

Ինչպես էր աշխատում զավթված սկրիպտը

Hudson Rock հետազոտողները հոկտեմբերի 29-ին ներբեռնեցին վնասակար ֆայլը Polymarket կայքի այն հասցեից, որը օգտագործվում էր DebugBear սկրիպտը բեռնելու համար։ Նրանք նաև գտան Polymarket կայքի կոդի փոփոխություն, որը հեռացնում էր DebugBear սկրիպտը։ DebugBear ընկերությունը ասաց, որ իր DNS գրառումները վնասվել են դոմենի գրանցողի միջոցով։ Նրա սկզբնական եզրակացությունները ցույց են տալիս, որ հարձակումը թիրախավորել է մեկ հաճախորդի կայքը, և իր սեփական համակարգերում ներթափանցման նշան չի տեսել, թեև դեռ ուսումնասիրում է։

Hudson Rock հետազոտողները ֆայլը առանց գործարկելու ուսումնասիրելուց հետո պարզեցին, որ կոդը վերաօգտագործում էր մուտք գործած առևտրականի արդեն ունեցած հասանելիությունը բաց Polymarket էջում։ Այն կարդում էր բրաուզերում պահված հաշվի տվյալները, այդ թվում՝ առևտրի API բանալիները։ Այդ բանալիներով միայն հնարավոր չէ պատվեր տեղադրել, քանի որ պատվերները պահանջում են նաև դրամապանակի ստորագրություն։ Կոդը փնտրում էր Polymarket կայքի այն մասը, որը տեղադրում է պատվերներ, և այն ստորագրողին, որը հաստատում է գործարքները։ Այն հաշիվների համար, որոնք մուտք են գործում իրենց կրիպտո դրամապանակով, այն դիրքերը տեղափոխում էր հաքերների դրամապանակ։ Էլեկտրոնային փոստի հաշիվների համար այն դիրքերը վաճառում էր ավելի ու ավելի վատ գներով և գումարը հանում էր։

Միջոցներ և վերադարձներ

Blockchain գրառումները ցույց են տալիս, որ հաքերների դրամապանակին մոտ 2,64 միլիոն դոլարի կրիպտո է հասել մեկ ժամից պակաս ժամանակում։ Դրամապանակը հավաքել է 28,6 միլիոն POL տոկեն և դիրքեր 33 դրամապանակներից, Ohey blockchain հետքի համաձայն։ 18:19 UTC-ին այդ 28,6 միլիոն POL-ը արժեր մոտ 2,64 միլիոն դոլար DefiLlama 0,0922 դոլար գնով, DefiPrime հաշվարկեց։ Այդ թիվը ներառում է միայն POL-ը, ոչ թե դիրքերը։

Polymarket ընկերությունը առաջին կարգավիճակի թարմացումը օգտատերերի դրամապանակներում չթույլատրված գործողությունների մասին հրապարակեց 17:38 UTC-ին։ 18:05 UTC-ին այն ասաց, որ իր բորսան գտնվում է միայն չեղարկելու ռեժիմում, իսկ relayer գործողությունները դադարեցված են։ Ընկերությունը ասաց, որ սկրիպտը հեռացրել է մեկ ժամվա ընթացքում, մաքրել է բոլոր քեշերը, վերակայել է բոլոր ակտիվ մուտքի սեսիաները և դադարեցրել է առևտուրը, մինչև կայքը մաքրվեր։ Այն դեպքը փոխանցել է իրավապահ մարմիններին։ Հոկտեմբերի 30-ի դրությամբ 726 տուժած դրամապանակներից 689-ը ամբողջությամբ փոխհատուցվել էին, իսկ մնացած 37-ը վճարվում էին ստուգման ընթացքում։ Polymarket ընկերությունը նաև 1,19 միլիոն դոլար է վճարում մոտ 5 500 դրամապանակի, որոնք կորուստներ ունեցան առևտրի դադարեցման ընթացքում կամ որոնց դիրքերը վերցվել էին։ Ընդհանուր առմամբ այն առևտրականներին վերադարձնում է 3,9 միլիոն դոլար։

Ինչ կարող են անել կայքերն ու առևտրականները

DebugBear ընկերությունը իր իրական օգտատերերի մոնիտորինգի արտադրանքի հաճախորդներին ասել է հեռացնել իր ներկառուցված կոդը իրենց կայքերից։ Վնասակար ֆայլը տրամադրող հասցեն՝ cdn.debugbear[.]com, նոյեմբերի 1-ին ստուգելիս DNS գրառում չուներ։ Polymarket ընկերությունը ասաց, որ երրորդ կողմի սկրիպտները վերադարձնում է տեղը՝ լրացուցիչ ստուգումներով, ինչպիսիք են ավելի ուժեղ Content Security Policy-ն, ամրագրված տարբերակները և sandboxing-ը։

Hudson Rock խորհուրդը արտաքին սկրիպտներ բեռնող կայքերի համար այն է, որ ավելորդ երրորդ կողմի կոդը չպահեն այն էջերում, որտեղ օգտատերերը առևտուր են անում կամ ստորագրում։ Եթե ֆայլը կարելի է ամրագրել, օգտագործեք Subresource Integrity, որը թույլ է տալիս բրաուզերին մերժել ֆայլը, եթե դրա բովանդակությունը փոխվի։ Hudson Rock խորհուրդը առևտրականների համար այն է, որ մերժեն ցանկացած ստորագրման հարցում, որը չէին սպասում։

Աղբյուրներ՝ The Hacker News