ჰაკერებმა Polymarket-ის ტრეიდერებს დაახლოებით 2,7 მილიონი დოლარი მოაპარეს გატაცებული DebugBear-ის სკრიპტით

ჰაკერებმა Polymarket-ის ტრეიდერებს დაახლოებით 2,7 მილიონი დოლარი მოაპარეს მას შემდეგ, რაც 29 ოქტომბერს პროგნოზების ბაზრის საიტზე მავნე კოდმა სისტემაში შესული ზოგიერთი მომხმარებლის პოზიციები გაყიდა და თანხები თავდამსხმელებს გადაურიცხა. კოდმა ჩაანაცვლა გვერდის სიჩქარის სკრიპტი, რომელსაც Polymarket გარე კომპანია DebugBear-ისგან იღებდა. Polymarket 726 დაზარალებულ საფულეს დაახლოებით 2,7 მილიონ დოლარს უბრუნებს.

როგორ მუშაობდა გატაცებული სკრიპტი

Hudson Rock-ის მკვლევარებმა მავნე ფაილი 29 ოქტომბერს იმ მისამართიდან ჩამოტვირთეს, რომელსაც Polymarket DebugBear-ის სკრიპტის ჩასატვირთად იყენებდა. მათ ასევე დაინახეს ცვლილება Polymarket-ის კოდში, რომელმაც ეს სკრიპტი მოხსნა. DebugBear-ის თქმით, DNS ჩანაწერები დომენის რეგისტრატორის მეშვეობით გატყდა. ადრეული დასკვნებით, თავდასხმა ერთი მომხმარებლის ვებსაიტს მიემართებოდა; საკუთარ სისტემებში შეღწევის ნიშანი არ შეუმჩნევია, თუმცა ჯერ კიდევ ამოწმებს.

Hudson Rock-მა ფაილის გაშვების გარეშე დაადგინა, რომ კოდი იყენებდა წვდომას, რომელიც სისტემაში შესულ ტრეიდერს უკვე ჰქონდა ღია Polymarket-ის გვერდზე. ის კითხულობდა ბრაუზერში შენახულ ანგარიშის მონაცემებს, მათ შორის სავაჭრო API გასაღებებს. მხოლოდ ამ გასაღებებით შეკვეთის განთავსება შეუძლებელია, რადგან საჭიროა საფულის ხელმოწერაც. კოდი ეძებდა Polymarket-ის საიტის იმ ნაწილს, რომელიც შეკვეთებს ათავსებს, და იმ ხელმომწერს, რომელიც ტრანზაქციებს ამტკიცებს. საკუთარი კრიპტო საფულით შესული ანგარიშების პოზიციები ჰაკერების საფულეში გადაიტანა. ელფოსტით შესული ანგარიშების პოზიციები სულ უფრო დაბალ ფასებად გაყიდა და თანხა გაიტანა.

თანხები და დაბრუნება

ბლოკჩეინის ჩანაწერებით, დაახლოებით 2,64 მილიონი დოლარის კრიპტო ჰაკერების საფულეში ერთ საათზე ნაკლებ დროში შევიდა. Ohey-ის კვალით, საფულემ 33 საფულიდან 28,6 მილიონი POL და პოზიციები შეაგროვა. DefiPrime-ის გამოთვლით, 18:19 UTC-ზე ეს 28,6 მილიონი POL, DefiLlama-ის 0,0922 დოლარის ფასით, დაახლოებით 2,64 მილიონ დოლარს ღირდა. მაჩვენებელი მხოლოდ POL-ს მოიცავს, პოზიციებს არა.

Polymarket-მა მომხმარებლების საფულეებში უნებართვო აქტივობის შესახებ პირველი სტატუსი 17:38 UTC-ზე გამოაქვეყნა. 18:05 UTC-ზე განაცხადა, რომ ბირჟა მხოლოდ გაუქმების რეჟიმში იყო, რელეიერის მოქმედებები კი შეჩერებული. კომპანიის თქმით, სკრიპტი ერთ საათში მოხსნა, ყველა ქეში გაასუფთავა, აქტიური სესიები გაანულა და ვაჭრობა შეაჩერა, სანამ საიტი სუფთა გახდებოდა. საქმე სამართალდამცავებს გადასცა. 30 ოქტომბრისთვის 726 დაზარალებული საფულიდან 689-ს თანხა სრულად დაუბრუნდა, დარჩენილ 37-ს შემოწმების პარალელურად უხდიდნენ. Polymarket ასევე 1,19 მილიონ დოლარს უხდის დაახლოებით 5 500 საფულეს, რომლებშიც ვაჭრობის შეჩერების დროს ფული დაიკარგა ან პოზიციები წაართვეს. სულ ტრეიდერებს 3,9 მილიონ დოლარს უბრუნებს.

რა შეუძლიათ საიტებსა და ტრეიდერებს

DebugBear-მა რეალური მომხმარებლის მონიტორინგის პროდუქტის მომხმარებლებს უთხრა, რომ საიტებიდან მისი ჩასაშენებელი კოდი მოხსნან. მისამართს, რომელიც მავნე ფაილს აწვდიდა, cdn.debugbear[.]com, 1 ნოემბერს DNS ჩანაწერი არ ჰქონდა. Polymarket-ის თქმით, მესამე მხარის სკრიპტებს დამატებითი კონტროლით აბრუნებს, მაგალითად, უფრო მკაცრი Content Security Policy, დამაგრებული ვერსიები და სენდბოქსირება.

Hudson Rock-ის რჩევა გარე სკრიპტების ჩამტვირთავ საიტებს: ზედმეტი მესამე მხარის კოდი არ დატოვონ იმ გვერდებზე, სადაც მომხმარებლები ვაჭრობენ ან ხელს აწერენ. სადაც ფაილის დამაგრება შესაძლებელია, გამოიყენეთ Subresource Integrity, რათა ბრაუზერმა ფაილი უარყოს, თუ მისი შიგთავსი შეიცვლება. Hudson Rock-ის რჩევა ტრეიდერებს: უარყონ ნებისმიერი მოულოდნელი ხელმოწერის მოთხოვნა.

წყაროები: The Hacker News