Otmica DebugBear skripte dovela do krađe sa Polymarket naloga
Napadači su 29. oktobra zamenili DebugBear skriptu koju je Polymarket učitavao sa spoljnog izvora i iskoristili je za neovlašćene transakcije sa naloga prijavljenih trgovaca. Polymarket je saopštio da vraća oko 2,7 miliona dolara za 726 pogođenih novčanika, dok blockchain podaci pokazuju da je napadačka adresa za manje od jednog sata primila kriptoimovinu vrednu približno 2,64 miliona dolara.
Izmenjeni fajl bio je deo DebugBear RUM alata, namenjenog merenju brzine učitavanja stranica kod stvarnih posetilaca. Istraživači Hudson Rock-a preuzeli su zlonamernu verziju 29. oktobra sa adrese koju je Polymarket koristio za učitavanje te skripte, a potom je iz koda Polymarket sajta uklonjena referenca na DebugBear.
Kompromitovan DNS, a ne potvrđen prodor u DebugBear sisteme
DebugBear je naveo da su njegovi DNS zapisi kompromitovani preko registrara domena. Prema početnim nalazima kompanije, napad je bio usmeren na sajt jednog korisnika, bez dokaza da su njeni interni sistemi probijeni, iako istraga i dalje traje.
Ohey je utvrdio da je drugi server odgovarao za DebugBear web-adrese u 18:13 UTC, dok je zlonamerni fajl još bio dostupan. Ranije tog dana regularna skripta isporučivana je iz Google Cloud Storage-a. DebugBear za svakog korisnika isporučuje zasebnu kopiju skripte, a zamenjena kopija bila je namenjena upravo Polymarket-u.
Kod je koristio postojeću sesiju i potpisivač transakcija
Analiza Hudson Rock-a pokazala je da kod nije morao da prikuplja lozinke, seed fraze ili privatne ključeve. Čitao je podatke naloga koje Polymarket čuva u pregledaču, uključujući API ključeve za trgovanje, ali ti ključevi sami po sebi nisu dovoljni za slanje naloga jer je potreban i potpis novčanika.
Zlonamerna skripta je zato tražila deo stranice koji šalje naloge i komponentu koja potpisuje transakcije. Kod naloga prijavljenih sopstvenim kripto-novčanikom, prenosio je trgovčeve pozicije na adresu napadača. Kod prijave putem e-pošte, prodavao je pozicije po sve nepovoljnijim cenama, a zatim prebacivao novac.
Zahtev za potpis ne dokazuje sam po sebi da je trgovac potpisao transakciju bez ikakvog upozorenja: provajder novčanika može prikazati zahtev, odbiti ga ili primeniti pravila aktivne sesije. Ipak, napadačka adresa je između 17:10 i 18:02 UTC prikupila 28,6 miliona POL tokena i pozicije sa 33 novčanika. Procena od oko 2,64 miliona dolara odnosi se samo na POL tokene, bez vrednosti preuzetih pozicija.
Odgovor Polymarket-a i lekcije za aplikacije
Polymarket je prvo obaveštenje o neovlašćenim aktivnostima objavio u 17:38 UTC, a u 18:05 je prebacio berzu u režim samo za otkazivanje naloga i pauzirao akcije relayera. Kompanija je uklonila skriptu, obrisala keš, resetovala aktivne prijave i zaustavila trgovanje dok okruženje nije očišćeno. Slučaj je prijavljen organima za sprovođenje zakona.
Do 30. oktobra, u potpunosti je nadoknađena šteta za 689 od 726 pogođenih novčanika, dok su preostalih 37 bili u postupku provere. Polymarket je najavio i 1,19 miliona dolara isplata za približno 5.500 novčanika pogođenih obustavom trgovanja ili preuzetim pozicijama, što ukupnu najavljenu naknadu podiže na 3,9 miliona dolara.
DebugBear je korisnicima RUM proizvoda preporučio uklanjanje njegovog umetnutog koda. Polymarket planira vraćanje skripti trećih strana uz dodatne provere, uključujući stroži Content Security Policy, fiksirane verzije i sandboxing. Za poslovne aplikacije koje obrađuju trgovanje ili potpisivanje, praktičan zaključak je da nepotrebne spoljne skripte treba ukloniti sa osetljivih stranica, a nepromenljivost dozvoljenih fajlova proveravati Subresource Integrity mehanizmom.