Hackerlar ele geçirilmiş DebugBear skriptiyle Polymarket yatırımcılarından yaklaşık 2,7 milyon dolar çaldı

Hackerlar, 29 Ekim'de tahmin piyasası Polymarket'in sitesindeki kötü amaçlı kodun oturum açmış bazı yatırımcıların pozisyonlarını satıp fonlarını saldırganlara aktarmasının ardından yaklaşık 2,7 milyon dolar çaldı. Kod, sitenin dış bir şirket olan DebugBear'dan yüklediği sayfa hızı skriptinin yerini almıştı. Polymarket, etkilenen 726 cüzdana yaklaşık 2,7 milyon dolar iade ettiğini açıklıyor.

Ele geçirilen skript nasıl çalıştı

Hudson Rock araştırmacıları kötü amaçlı dosyayı 29 Ekim'de, Polymarket'in DebugBear skriptini yüklemek için kullandığı adresten indirdi. Polymarket'in site kodunda DebugBear skriptini kaldıran bir değişiklik de buldular. DebugBear, DNS kayıtlarının alan adı kayıt kuruluşu üzerinden ele geçirildiğini duyurdu. Şirketin ilk bulguları saldırının tek bir müşterinin sitesini hedef aldığını gösteriyor; şirket kendi sistemlerine girildiğine dair bir iz görmediğini, incelemenin sürdüğünü belirtti.

Hudson Rock, dosyayı çalıştırmadan inceleyerek kodun, açık bir Polymarket sayfasında oturum açmış yatırımcının hâlihazırda sahip olduğu erişimi yeniden kullandığını tespit etti. Kod, tarayıcıda tutulan hesap bilgilerini, aralarında ticaret API anahtarlarının da bulunduğu verileri okuyordu. Bu anahtarlar tek başına sipariş vermeye yetmiyor, çünkü siparişler için ayrıca cüzdan imzası gerekiyor. Kod, Polymarket sitesinin sipariş veren bölümünü ve işlemleri onaylayan imzalayıcıyı arıyordu. Kendi kripto cüzdanıyla oturum açan hesaplarda pozisyonları doğrudan hackerların cüzdanına taşıdı. E-postayla oturum açan hesaplarda ise pozisyonları giderek kötüleşen fiyatlarla sattı ve parayı dışarı aktardı.

Fonlar ve iadeler

Blokzincir kayıtları, yaklaşık 2,64 milyon dolar değerinde kripto paranın bir saatten kısa sürede hackerların cüzdanına ulaştığını gösteriyor. Ohey'in blokzincir izine göre cüzdan, 33 cüzdandan 28,6 milyon POL tokeni ve pozisyon topladı. DefiPrime'ın hesaplamasına göre 18:19 UTC'de bu 28,6 milyon POL, DefiLlama'nın 0,0922 dolarlık fiyatıyla yaklaşık 2,64 milyon dolar değerindeydi. Bu tutar yalnızca POL'ü kapsıyor, pozisyonları kapsamıyor.

Polymarket, kullanıcı cüzdanlarındaki yetkisiz etkinliğe ilişkin ilk durum güncellemesini 17:38 UTC'de yayımladı. 18:05 UTC'de borsasının yalnızca iptal modunda olduğunu, aktarıcı işlemlerinin durdurulduğunu bildirdi. Şirket skripti bir saat içinde kaldırdığını, tüm önbellekleri temizlediğini, etkin tüm oturumları sıfırladığını ve site temizlenene kadar ticareti durdurduğunu açıkladı. Dosyayı kolluk kuvvetlerine iletti. 30 Ekim itibarıyla etkilenen 726 cüzdanın 689'una tam iade yapılmıştı; kalan 37 cüzdan ise kontroller sürerken ödeniyordu. Polymarket ayrıca ticaretin durduğu sırada para kaybeden ya da pozisyonları alınan yaklaşık 5.500 cüzdana 1,19 milyon dolar ödüyor. Şirket yatırımcılara toplamda 3,9 milyon dolar iade ediyor.

Siteler ve yatırımcılar ne yapabilir

DebugBear, gerçek kullanıcı izleme ürününün müşterilerine gömme kodunu sitelerinden kaldırmalarını söyledi. Kötü amaçlı dosyayı sunan adres olan cdn.debugbear[.]com'un 1 Kasım'da kontrol edildiğinde DNS kaydı yoktu. Polymarket, üçüncü taraf skriptleri daha güçlü bir Content Security Policy, sabitlenmiş sürümler ve sanal alan gibi ek kontrollerle yeniden devreye aldığını açıkladı.

Hudson Rock'ın dışarıdan skript yükleyen sitelere önerisi, kullanıcıların işlem yaptığı ya da imza attığı sayfalarda gereksiz üçüncü taraf kodunu tutmamaları. Bir dosya sabitlenebiliyorsa, içeriği değiştiğinde tarayıcının dosyayı reddetmesini sağlayan Subresource Integrity kullanılmalı. Hudson Rock'ın yatırımcılara önerisi ise beklemedikleri her imza talebini reddetmeleri.

Kaynaklar: The Hacker News