هکرها بامداد امروز با بهره‌برداری از یک نقص مهندسی در وب‌سایت Polymarket، دست‌کم ۲٫۶ میلیون دلار از دارایی کاربران را خارج کردند. حمله بیش از ۷۰۰ حساب را درگیر کرد و این پلتفرم بازارهای پیش‌بینی را واداشت معاملات صرافی بین‌المللی خود را برای مدتی کوتاه متوقف کند.
به‌گزارش وال‌استریت ژورنال، پلی‌مارکت به آسیب‌دیدن دارایی کاربران اذعان کرده و گفته است معامله‌گرانی که پول خود را در جریان رخنه از دست داده‌اند، تمام زیانشان را پس خواهند گرفت.
سرنخ‌های اولیه، منشا رخنه را نه سامانه‌ی اصلی معاملات، بلکه DebugBear معرفی می‌کنند؛ ابزار متفرقه‌ای که برای پایش عملکرد وب‌سایت پلی‌مارکت به کار می‌رفت. فردی آگاه از موضوع گفته نقص امنیتی همان ابزار راه دسترسی مهاجمان را فراهم کرده و پرونده از سوی پلی‌مارکت به نهادهای مجری قانون در بریتانیا ارجاع شده است؛ کشوری که DebugBear در آن مستقر است.
DebugBear پیش‌تر در شبکه‌ی اجتماعی ایکس نوشته بود که یک رخداد امنیتی در حال وقوع بر فعالیتش اثر گذاشته و از مشتریانی که یکی از محصولاتش را به کار می‌برند خواسته بود کد تعبیه‌شده را از وب‌سایت خود حذف کنند.
کدهای تعبیه‌شده‌ی خدمات جانبی معمولا درون صفحات وب اجرا می‌شوند و در صورت آلوده‌شدن زنجیره‌ی تامین نرم‌افزار، می‌توانند به مسیری برای دست‌کاری تعامل کاربر تبدیل شوند. جزئیات فنی منتشرشده هنوز برای تعیین شیوه‌ی دقیق برداشت دارایی کافی نیست، اما واکنش DebugBear نشان می‌دهد حذف همان مولفه‌ی خارجی بخشی از اقدام فوری برای مهار خطر بوده است.
کپی لینکرد پول روی بلاک‌چین
بررسی وال‌استریت ژورنال از فعالیت کیف پولی که به مهاجم مظنون نسبت داده شده، بیش از ۲٫۶ میلیون دلار دارایی منتقل‌شده از حساب‌های کاربران پلی‌مارکت را نشان می‌دهد. داده‌های زنجیره‌ای همچنین از برداشت پول از بیش از ۷۰۰ حساب حکایت دارند.
پلی‌مارکت پس از تایید آسیب‌دیدن دارایی کاربران، معاملات صرافی بین‌المللی خود را موقتا متوقف کرد تا حمله را بررسی و مهار کند. پلتفرم پس از پیام‌های DebugBear در ایکس اعلام کرد مشکل مرتبط با تامین‌کننده‌ی متفرقه برطرف شده و همه‌ی معامله‌گران زیان‌دیده به وضعیت مالی پیش از حمله بازمی‌گردند.
وعده‌ی جبران کامل، هزینه‌ی مستقیم رخنه را متوجه پلی‌مارکت می‌کند؛ بااین‌حال، ابعاد نهایی تعهد مالی به تعداد ادعاهای تاییدشده و نتیجه‌ی بررسی تراکنش‌ها وابسته خواهد بود. منبع درباره‌ی زمان بازپرداخت، سازوکار ثبت درخواست یا منبع تامین پول توضیحی نداده است.
