Polymarket schort handel op na inbreuk bij derde partij die gebruikersaccounts in gevaar bracht
Polymarket heeft op 29 oktober de handel opgeschort nadat een gecompromitteerd script van een derde partij was gebruikt om geld uit gebruikersaccounts leeg te halen. In de postmortem van het bedrijf van 30 oktober worden de totale terugbetalingen op $3,9 miljoen gesteld, waarbij op die middag werd gemeld dat 95% van de getroffen wallets volledig was terugbetaald.
Geschreven door de AI-redactie van CoinArticle · op basis van 6 geciteerde bronnen. Hoe we werken
De inbreuk en de respons
Polymarket heeft op 29 oktober de handel stilgelegd nadat een externe leverancier was gecompromitteerd en gebruikers meldden dat activa zonder toestemming uit hun accounts waren opgenomen. De statuspagina van het platform toonde een grote storing van de handels-API, waarbij de beurs in de modus 'alleen annuleren' stond. Traders konden bestaande orders intrekken, maar geen nieuwe plaatsen. Ook de relayer-acties, die de ondertekende transacties van gebruikers naar de blockchain sturen, waren gepauzeerd.
In een postmortem van 30 oktober stelde Polymarket dat een gecompromitteerd script voor prestatiemonitoring was gebruikt om posities te verkopen en geld te verplaatsen uit sommige actieve sessies. De respons van het bedrijf omvatte het verwijderen van het script, het wissen van caches, het resetten van sessies en het tijdelijk stopzetten van de handel en de relayer-activiteit. Het bedrijf zei de zaak te hebben doorverwezen naar de relevante wetshandhavingsinstanties.
Verliezen en terugbetalingen
Polymarket zei in totaal $3,9 miljoen terug te betalen: $2,7 miljoen dat verband houdt met de aanval en $1,2 miljoen voor verliezen die samenhangen met de handelspauze. Het bedrijf meldde dat op de middag van 30 oktober 95% van de getroffen wallets volledig was terugbetaald. Dat cijfer is een gedateerde rapportage van het bedrijf en geen actueel voltooiingspercentage, en het bevestigt niet dat elk betwist bedrag is afgehandeld.
Eerdere persberichtgeving van CCN becijferde de verliezen op ongeveer $2,73 miljoen, weggehaald bij 737 accounts via 985 opnames in ongeveer één uur. Die cijfers waren op dat moment niet onafhankelijk bevestigd. Een reeks van zoveel opnames in ongeveer een uur wijst op geautomatiseerd leegtrekken in plaats van handmatige activiteit. Decrypt meldde dat een gerelateerde wallet swaps ontving van gebridged USDC naar POL, het native token van Polygon, via de cross-chaindienst Relay, en gegevens van Arkham toonden dat die wallet ongeveer $2,65 miljoen aan POL aanhield.
Aanvalsmechanisme en toeschrijving
Onderzoekers van Hudson Rock zeiden dat een script dat is geladen vanaf DebugBear, een dienst voor monitoring van webprestaties, code bevat die zoekt naar de ingelogde handelssessie van een gebruiker en probeert posities te verkopen en activa over te maken. Het bedrijf zei dat hetzelfde walletadres in het script is hardgecodeerd als fallback-ontvanger, en dat de productiesitecode van Polymarket de verwijdering van het script registreert. Hudson Rock heeft nog niet vastgesteld hoe de compromittering is begonnen of hoeveel gebruikers zijn getroffen.
Vertrouwen en risico's van derden
Het incident belicht een structurele kwetsbaarheid van webgebaseerde handelsplatforms: afhankelijkheid van externe leveranciers die code aanleveren die in de browsers van gebruikers wordt uitgevoerd. Subresource Integrity, een browsermechanisme dat in de documentatie van Mozilla wordt beschreven, kan bestanden weigeren die niet overeenkomen met een verwachte cryptografische hash, maar het beoordeelt niet of goedgekeurde code veilig is. Platforms hebben daarom nog steeds beoordelingsprocessen nodig en grenzen aan wat externe scripts mogen openen.
De pauze roept een afzonderlijke vraag op. Gebruikers met posities in tijdgevoelige markten kunnen door de stillegging zijn getroffen, ook als hun wallets nooit leeg zijn getrokken. Het compenseren van die verliezen vereist een vastgesteld waarderingstijdstip en een vastgestelde methode. Decrypt merkte op dat dit niet het eerste incident van dit jaar bij Polymarket is. In mei leidde een compromittering van een privésleutel tot het leegtrekken van ongeveer $700.000 uit een interne top-up-wallet, en een maand later liet een gecompromitteerde leverancier hackers kwaadaardige frontend-code injecteren, waarmee ongeveer $3 miljoen werd gestolen van minder dan 15 accounts.
Waarom het ertoe doet
Voor traders
Gebruikers met geld op Polymarket konden tijdens de stillegging geen nieuwe orders plaatsen of posities afsluiten. Het terugbetalingscijfer van 95% is een door het bedrijf gerapporteerde momentopname en geen bevestigd voltooiingspercentage.
Voor beleggers
Een terugbetalingsprogramma van $3,9 miljoen na de compromittering van een script van een derde partij, na eerdere door een leverancier veroorzaakte diefstal dit jaar, belicht terugkerende operationele en bewaarrisico's bij voorspellingsmarkt-platforms, die los staan van hun marktontwerp.
Voor bouwers
Monitoring- en analysescripts die in handelsfrontends worden geladen, vormen een aanvalsoppervlak in de toeleveringsketen. Ze moeten worden geïsoleerd van ondertekenings- en opnamestromen en gepaard gaan met integriteitscontroles bij elke update.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
