Polymarket, 29 Ekim'de Bitquery tarafından yayımlanan bir blok zincir araştırmasına göre, tek bir saat içinde 737 kullanıcı hesabından yaklaşık 2.73 milyon dolar çalan koordineli bir güvenlik ihlali yaşadı. Saldırganlar, akıllı sözleşme kodunu kırmak yerine geçerli cüzdan onaylarını kullanarak 17:10 ile 18:10 UTC arasında 985 yetkisiz para çekme işlemi gerçekleştirdi. İhlal, kötü niyetli kodun üçüncü taraf bir web sitesi betiğini değiştirmesiyle meydana geldi ve o sırada tahmin-pazarı platformunu açık tutan kullanıcıları hedef aldı. Polymarket, daha sonra toplam 3.9 milyon dolar geri ödeme yapacağını duyurdu ve etkilenen cüzdanların %95'inin tamamen geri ödendiğini bildirdi. Olay, teknik zayıflıklar ve piyasa bütünlüğü sorunları nedeniyle inceleme altında olan tahmin-pazarı sektöründeki güvenlik endişeleri serisine ekleniyor.
Saldırganlar, İşlem İletici Üzerinden Geçerli Cüzdan Onaylarını Kullandı
Bitquery'nin araştırması, saldırganların Polymarket'in resmi işlem ileticisi aracılığıyla para çekme işlemlerini yönlendirdiğini buldu. Bu iletici, kullanıcı tarafından yetkilendirilmiş blok zincir işlemlerini, tüccarların doğrudan ağ ücretlerini ödemesini gerektirmeden gönderir. Onaylar, temel akıllı cüzdanlar için meşru görünüyordu. 30 para çekme işlemi örneğinde, araştırmacılar onayların oluşturulmasından sadece üç ila yedi saniye sonra işlemlerin gerçekleştirildiğini buldu ve bu da otomatik bir etkinliği öne sürdü.
En büyük bireysel hesap kaybı yaklaşık 358,000 dolara ulaşırken, dört hesap toplam çalınan fonların %43'ünü temsil etti. Bu arada, 276 hesap her biri 100 dolardan az kaybetti. Fonlar, Polygon'un POL token'ına dönüştürüldü ve bazıları Ethereum'a yönlendirilmeden önce birden fazla cüzdana dağıtıldı.
Saldırı, en az 11 cüzdan arasında yaklaşık 2.94 milyon dolarlık kayıplara yol açan Haziran ayındaki bir güvenlik ihlaline benziyor. O olayda da, bir üçüncü taraf bağımlılığı aracılığıyla kötü niyetli kod kullanılmıştı. Polymarket, daha önce bir dış kimlik doğrulama sağlayıcısıyla bağlantılı hesap ihlalleri yaşamıştı ve bu, bir platforma bağlı hizmetlerin, temel blok zincir sözleşmeleri sağlam kalsa bile hedef haline gelebileceğini gösteriyor.
Bitquery, Çalınan Fonları Polygon ve Ethereum Ağlarında İzledi
Araştırmacılar, yaklaşık 28.64 milyon POL alan bir saldırgan kontrolündeki adresi tespit etti ve bu token'lar üç yeni oluşturulan cüzdana dağıtıldı. Bazı fonlar daha sonra Relay, deBridge ve Polygon'un yerel köprüsü aracılığıyla Ethereum'a yönlendirildi. Araştırmanın 19:49 UTC kesiminde, üç Polygon cüzdanında yaklaşık 2.17 milyon dolar kalırken, başka bir tespit edilen Ethereum cüzdanında 126.10 ETH bulunuyordu.
Saldırgan ayrıca 33 hesaptan tahmin-pazarı pozisyonlarını transfer etti ve çalınan bazı hisseleri satmak için yeni bir Polymarket hesabı oluşturdu. Polymarket'in yanıtıyla ilgili bir sıra dışı bulgu, Bitquery'nin 19:11 UTC'de başka bir 10.99 dolarlık para çekme işlemi tespit etmesiydi; bu, şirketin sorunu çözdüğünü söylediği andan yaklaşık 38 dakika sonraydı. Bu işlem, zafiyetin genel olarak istismar edilebilir olduğunu kanıtlamasa da, düzeltme zamanlaması hakkında sorular ortaya çıkarıyor.
Polymarket, Kullanıcılara 3.9 Milyon Dolar Geri Ödeme Duyurdu
Polymarket'in resmi olay raporu, bir saldırganın üçüncü taraf bir web sitesi betiğini, platformu açık tutan kullanıcılara yönelik kötü niyetli kodla değiştirdiğini doğruladı. Şirket, betiği kaldırdı, önbellekleri temizledi, aktif oturumları sıfırladı ve ticareti geçici olarak askıya aldı. Daha sonra etkilenen cüzdanların %95'inin tamamen geri ödendiğini ve toplam geri ödemelerin 3.9 milyon dolara ulaşacağını bildirdi.
İhlal, zaten piyasa bütünlüğü ve hassas ticaret bilgilerini yönetme konularında inceleme altında olan tahmin-pazarı sektörü için başka bir güvenlik endişesi ekliyor. Ayrıca, merkeziyetsiz finans uygulamaları için daha geniş bir riski de gösteriyor: blok zincir sözleşmeleri doğru çalışsa bile, tehlikeye atılmış dış yazılımlar hala zararlı işlemleri yetkilendirebilir. Polymarket etrafındaki önceki güvenlik endişeleri, gerçek altyapı ihlalleri ile diğer rapor edilen tehditler arasında ayrım yapmanın ne kadar önemli olduğunu vurgulamıştır.
SSS
Saldırganlar, 29 Ekim'de Polymarket hesaplarını nasıl boşalttı?
Saldırganlar, üçüncü taraf bir web sitesi betiğine kötü niyetli kod enjekte ederek geçerli cüzdan onaylarını istismar etti. Kod, 17:10 ile 18:10 UTC arasında Polymarket'in resmi işlem ileticisi aracılığıyla 985 yetkisiz para çekme işlemini yönlendirdi ve 737 hesaptan 2.73 milyon dolar boşalttı.
Polymarket, etkilenen kullanıcılara ne kadar geri ödeme sağladı?
Polymarket, toplam 3.9 milyon dolar geri ödeme duyurdu ve etkilenen cüzdanların %95'inin tamamen geri ödendiğini bildirdi. Şirket, ihlalin ardından tehlikeye atılmış betiği kaldırdı, önbellekleri temizledi, aktif oturumları sıfırladı ve ticareti geçici olarak askıya aldı.
