Хакери викрали близько $2,7 млн у трейдерів Polymarket через викрадений скрипт DebugBear

Хакери викрали близько $2,7 млн у трейдерів Polymarket після того, як шкідливий код на сайті ринку прогнозів продав частину позицій авторизованих користувачів і перевів кошти зловмисникам 29 жовтня. Цей код замінив скрипт швидкості сторінки, який Polymarket завантажував від зовнішньої компанії DebugBear. Polymarket повідомляє, що повертає близько $2,7 млн 726 постраждалим гаманцям.

Як працював викрадений скрипт

Дослідники Hudson Rock завантажили шкідливий файл 29 жовтня за адресою, яку сайт Polymarket використовував для завантаження скрипта DebugBear. Вони також знайшли зміну в коді сайту Polymarket, яка видалила скрипт DebugBear. DebugBear повідомила, що його DNS-записи були скомпрометовані через реєстратора домену. Попередні висновки компанії вказують, що атака була спрямована на вебсайт одного клієнта, і вона не бачить ознак проникнення у власні системи, хоча перевірка ще триває.

Hudson Rock після перегляду файлу без його запуску виявила, що код повторно використовував доступ, який авторизований трейдер уже мав на відкритій сторінці Polymarket. Він читав дані облікового запису, що зберігалися в браузері, зокрема ключі API для торгівлі. Самі по собі ці ключі не можуть розмістити ордер, оскільки для ордерів також потрібен підпис гаманця. Код шукав частину сайту Polymarket, яка розміщує ордери, і підписувача, що підтверджує транзакції. Для облікових записів, які входять за допомогою власного криптогаманця, він переводив позиції на гаманець хакерів. Для облікових записів електронної пошти він продавав позиції за дедалі гіршими цінами і виводив гроші.

Кошти і повернення

Записи блокчейну показують, що криптовалюта вартістю близько $2,64 млн потрапила на гаманець хакерів менше ніж за годину. Гаманець зібрав 28,6 млн токенів POL і позиції з 33 гаманців, за даними блокчейн-трасування Ohey. О 18:19 UTC ці 28,6 млн POL коштували близько $2,64 млн за ціною DefiLlama $0,0922, підрахував DefiPrime. Ця сума охоплює лише POL, а не позиції.

Polymarket опублікувала перше оновлення статусу про несанкціоновану активність у гаманцях користувачів о 17:38 UTC. О 18:05 UTC компанія повідомила, що її біржа перебуває в режимі лише скасування, а дії ретранслятора призупинено. Компанія повідомила, що видалила скрипт протягом години, очистила весь кеш, скинула всі активні сеанси входу і призупинила торгівлю до очищення сайту. Вона передала справу правоохоронним органам. Станом на 30 жовтня 689 із 726 постраждалих гаманців були повністю відшкодовані, а решта 37 виплачувалися під час перевірки. Polymarket також виплачує $1,19 млн приблизно 5 500 гаманцям, які втратили гроші під час призупинення торгівлі або в яких були вилучені позиції. Загалом компанія повертає трейдерам $3,9 млн.

Що можуть зробити сайти і трейдери

DebugBear повідомила клієнтам свого продукту моніторингу реальних користувачів видалити його вбудований код зі своїх вебсайтів. Адреса, яка обслуговувала шкідливий файл, cdn.debugbear[.]com, не мала DNS-запису під час перевірки 1 листопада. Polymarket повідомила, що повертає сторонні скрипти на місце з додатковими перевірками, такими як посилена Content Security Policy, закріплені версії та ізоляція.

Порада Hudson Rock для сайтів, які завантажують зовнішні скрипти, полягає в тому, щоб не розміщувати непотрібний сторонній код на сторінках, де користувачі торгують або підписують. Якщо файл можна закріпити, використовуйте Subresource Integrity, яка дозволяє браузеру відхилити файл, якщо його вміст зміниться. Порада Hudson Rock для трейдерів полягає в тому, щоб відхиляти будь-який запит на підпис, який вони не очікували.

Джерела: The Hacker News