A Polymarket confirmou na sexta-feira que um fornecedor terceirizado comprometido permitiu que atacantes injetassem código malicioso em sua interface, drenando cerca de $3 milhões de menos de 15 contas de usuários.
A plataforma afirma que reembolsará totalmente todos os usuários afetados.
O que Aconteceu
O ataque foi inicialmente sinalizado pelo pesquisador de segurança on-chain Specter, que postou que uma aparente campanha de phishing havia drenado fundos de mais de 11 carteiras vítimas que possuíam a stablecoin PUSD da Polymarket.
Na época, eles estimaram as perdas em $2,94 milhões, com a PeckShield confirmando o valor logo em seguida e observando que o atacante havia transferido os fundos roubados de Polygon para Ethereum e os convertido em 1.893 ETH.
O mercado de previsões reconheceu a violação através de uma de suas contas oficiais, Polymarket Traders.
“Esta manhã descobrimos que um fornecedor terceirizado havia sido comprometido, injetando um script malicioso em nossa interface para alguns usuários. Contenhamo-lo e removemos a dependência afetada,” escreveu no X. “Estamos contatando os usuários impactados e reembolsando-os integralmente.”
William LeGate, que trabalha em estreita colaboração com a plataforma, ecoou as notícias sobre a compensação, repetindo que o problema havia sido resolvido e que os usuários afetados receberiam de volta seu dinheiro integralmente.
Outra conta de segurança de blockchain, GoPlus Security, descreveu o incidente como um ataque à cadeia de suprimentos. Ela disse que o código malicioso afetou cerca de 15 contas, com perdas totalizando $3 milhões, uma conclusão que também foi alcançada pela Bubblemaps, que elogiou a resposta da Polymarket após as perdas serem contidas.
Um Problema Recorrente
Esta não é a primeira vez que a Polymarket é atingida. No mês passado, a plataforma divulgou outra violação na qual uma carteira de administrador usada para recompensas de funcionários foi drenada de cerca de $700.000, provavelmente através de uma comprometimento de chave privada. No início, o investigador de criptomoedas ZachXBT estimou que as perdas eram em torno de $520.000, com a Bubblemaps citando posteriormente o valor mais alto após rastrear os fundos através de vários endereços.
O desenvolvedor Josh Stevens confirmou na época que uma chave privada de 6 anos havia sido exposta através de uma configuração interna e que a empresa desde então havia rotacionado credenciais e migrado para serviços de gerenciamento de chaves. No entanto, esse incidente não afetou os fundos dos usuários ou contratos principais.
Embora os dois incidentes tenham envolvido métodos de ataque diferentes, ambos visaram sistemas fora dos próprios mercados de previsão da Polymarket. Além disso, o mais recente ocorreu em um momento em que a plataforma já está enfrentando outros desafios reputacionais, incluindo um relatório recente do Wall Street Journal, que afirmava que havia pago a criadores em idade universitária entre $2.000 e $3.000 por mês para postar vídeos de apostas encenadas em versões falsas do site da Polymarket, com nenhum dos mais de 1.100 clipes rastreáveis a atividades reais na blockchain.
Houve também outra controvérsia no início deste mês quando um trader afirmou que havia perdido $500.000 após o serviço de previsão supostamente ter mudado as regras de resolução para um mercado ligado à venda de Bitcoin da Strategy.
Fonte: CryptoPotato
