Основы Интернет - технологий.

Платформа Polymarket временно остановила торги после того, как хакеры скомпрометировали сторонний сервис DebugBear и распространили через него вредоносный jаvascript. Скрипт перехватывал авторизованные сессии и пытался похитить криптовалюту пользователей. ИБ-исследователи связывают с атакой кошелек, через который прошло около 2,57 млн долларов США.

Представители Polymarket сообщают, что взлом затронул Polymarket.com, но в настоящее время компрометацию уже устранили, а всю информацию об атаке передали правоохранительным органам. Представители площадки обещают полностью компенсировать потери всем пострадавшим пользователям.

На время проведения расследования Polymarket сначала перешел в режим cancel-only, запретив новые сделки, а затем приостановил операции через релеи. Примерно через полчаса специалисты компании сообщили об устранении проблемы, однако торги на всякий случай оставили отключенными. В итоге рынок предсказаний восстановил работу примерно через час после начала инцидента.

Эксперты из компании Hudson Rock пишут, что вредоносный jаvascript распространялся с домена cdn.debugbear[.]com. DebugBear представляет собой сервис Real User Monitoring (RUM): его jаvascript встраивается на сайты и собирает метрики производительности, помогая отслеживать скорость загрузки и работу сайтов у реальных пользователей.

Вскоре представители DebugBear подтвердили, что расследуют продолжающийся ИБ-инцидент, и призвали клиентов немедленно удалить RUM-код со своих сайтов.

Анализ вредоносного скрипта показал, что тот проверял, авторизован ли посетитель в Polymarket, а при наличии активной сессии использовал штатные торговые функции платформы для несанкционированных операций. Вредонос определял балансы кошельков и позиции пользователя на рынках прогнозов, после чего выбирал способ кражи криптовалюты в зависимости от метода аутентификации.

Так, в одних случаях скрипт пытался автоматически продать позиции жертвы, в других — напрямую перевести токены на кошелек злоумышленников. Кроме того, малварь пыталась конвертировать имеющуюся у пользователя криптовалюту в другие активы, которые затем можно вывести с платформы.

Для получения команд и отправки информации об аккаунтах, адресах кошельков, балансах и результатах транзакций скрипт обращался к data.debugbear[.]com. То есть инфраструктура DebugBear использовалась не только для распространения малвари, но и в качестве управляющего сервера, а также канала для эксфильтрации данных. Пока остается неясным, какой уровень доступа к системам DebugBear получили атакующие.

Исследователи Hudson Rock отмечают, что нашли предположительно связанный с этой атакой кошелек, с которого перевели около 28,6 млн POL стоимостью примерно 2,57 млн долларов США на три других адреса.

При этом точный размер ущерба пока неизвестен: представители Polymarket не раскрывают, сколько пользователей пострадало от атаки и сколько криптовалюты удалось похитить хакерам.