Подмена скрипта DebugBear принесла хакерам $2,7 млн с Polymarket
Злоумышленники 29 октября подменили подключаемый скрипт DebugBear на сайте рынка прогнозов Polymarket и похитили у авторизованных трейдеров криптоактивы примерно на $2,7 млн. Polymarket заявила, что компенсирует потери 726 затронутым кошелькам; по данным блокчейн-трассировки, на адрес атакующих менее чем за час поступило около $2,64 млн в токенах POL.
Компрометация затронула внешний скрипт
DebugBear предоставляет инструмент RUM для измерения скорости загрузки страниц у реальных посетителей. Компания сообщила, что её DNS-записи были скомпрометированы через регистратора доменов. По предварительной оценке DebugBear, атака была нацелена на сайт одного клиента, а признаков проникновения во внутренние системы сервиса пока не обнаружено.
Исследователи Hudson Rock скачали вредоносный файл 29 октября с адреса, с которого Polymarket загружал скрипт DebugBear. Они также зафиксировали изменение в коде Polymarket, удалившее подключение. Ohey обнаружила другой сервер, отвечавший за веб-адреса DebugBear, в 18:13 UTC, когда вредоносный файл ещё был доступен.
Каждому клиенту DebugBear выдаётся собственная копия скрипта. В данном случае была заменена версия, предназначенная для Polymarket. До инцидента штатный файл в этот день раздавался из Google Cloud Storage.
Как код проводил операции от имени пользователей
Hudson Rock изучила файл без запуска и установила, что вредоносный код использовал полномочия уже открытой страницы Polymarket. Он считывал данные аккаунта, сохранённые в браузере, включая набор API-ключей для торговли. Одних этих ключей недостаточно для размещения ордера: операция также требует подписи кошелька.
Исследователи не нашли в коде отправки API-ключей, паролей, seed-фраз или приватных ключей на сервер злоумышленников. Вместо этого скрипт искал компоненты сайта, оформляющие ордера, и signer, подтверждающий транзакции. Затем он передавал запросы на подпись от имени текущего аккаунта и направлял их relayer Polymarket.
Для пользователей, вошедших через собственный криптокошелёк, код переводил позиции напрямую на кошелёк атакующих. Для входивших по электронной почте он продавал позиции по всё менее выгодным ценам, а затем выводил средства. Hudson Rock подчёркивает, что запрос на подпись сам по себе не доказывает незаметного подтверждения: провайдер кошелька мог показать запрос, отклонить его или применить правила активной сессии.
Реакция Polymarket и урок для сайтов
Согласно Ohey, кошелёк злоумышленников получал средства с 17:10 до 18:02 UTC: за это время с 33 кошельков поступили 28,6 млн POL и позиции. В 18:19 UTC эти токены оценивались примерно в $2,64 млн по цене $0,0922, приведённой DefiLlama. Эта оценка не включает стоимость похищенных позиций.
Polymarket впервые сообщила о несанкционированной активности в 17:38 UTC, а в 18:05 перевела биржу в режим только отмены заявок и приостановила действия relayer. Платформа удалила скрипт, очистила кэш, сбросила активные сессии и приостановила торги до очистки сайта. Компания также передала информацию правоохранительным органам.
К 30 октября полностью возмещены потери 689 из 726 кошельков, а оставшиеся 37 проходили проверку. Polymarket также выделила $1,19 млн примерно для 5 500 кошельков, потерявших деньги из-за остановки торгов или изъятия позиций. Общий объём возвратов заявлен на уровне $3,9 млн.
Практический вывод для бизнеса: на страницах с торговлей, входом и подписью операций следует исключать необязательные сторонние скрипты. Для оставшихся интеграций нужны фиксированные версии, Subresource Integrity и строгая Content Security Policy: доверие к CDN не гарантирует неизменность файла, который он отдаёт.