Die Prognoseplattform Polymarket wurde Opfer eines „Supply-Chain“-Cyberangriffs, der zum Abfluss von Millionen US-Dollar aus den Konten der Händler auf ihrer internationalen Plattform führte. Die Plattform kündigte am 29. Oktober eine vorübergehende Aussetzung des Handels an, nachdem unbefugte Abhebungen festgestellt wurden, und versicherte, dass alle von diesem Vorfall betroffenen Nutzer entschädigt werden.
Angriffsmechanismus: Ausnutzung von Monitoring-Tools
Forscher des Unternehmens Hudson Rock enthüllten, dass der Angriff nicht direkt auf die Infrastruktur von Polymarket abzielte, sondern über bösartigen JavaScript-Code erfolgte, der durch DebugBear eingeschleust wurde, ein britisches Unternehmen, das auf die Überwachung der Website-Performance spezialisiert ist.
Der bösartige Code nutzte das „Real User Monitoring“ (RUM)-Tool von DebugBear, um Folgendes zu erreichen:
- Suche nach Handelswerkzeugen und Wallets von bereits angemeldeten Nutzern.
- Ausnutzung der in aktiven Sitzungen (Authenticated sessions) verfügbaren Berechtigungen, ohne dass Passwörter, private Schlüssel oder Wiederherstellungsphrasen direkt gestohlen werden mussten.
- Verkauf der Finanzpositionen der Nutzer oder Übertragung von Token direkt an Adressen, die von den Angreifern kontrolliert werden.
Schätzungen der finanziellen Verluste
Die Zahlen zum Umfang des Diebstahls variieren je nach den Analysen der Cybersicherheitsunternehmen:
- Das Unternehmen Hudson Rock schätzte, dass sich etwa 2,19 Millionen US-Dollar auf der im Code vorprogrammierten Adresse des Angreifers befanden.
- Das Cybersicherheitsunternehmen GoPlus wies darauf hin, dass die Verluste bis zu 2,71 Millionen US-Dollar erreichen könnten, und merkte an, dass der Angriff über 710 Einzahlungs-Wallets und 731 verschiedene Adressen verlief.
DebugBear bestätigte seinerseits einen Sicherheitsvorfall und forderte seine Nutzer auf, ihre Software-Snippets sofort von ihren Websites zu entfernen, wobei sie darauf hinwiesen, dass spezialisierte Experten für die Reaktion auf den Vorfall hinzugezogen wurden. Es ist erwähnenswert, dass die US-Plattform von Polymarket von diesem Angriff nicht betroffen war.
Warum ist diese Nachricht wichtig?
Dieser Vorfall beleuchtet die wachsenden Risiken in der Softwaresicherheit, da es nicht mehr ausreicht, nur die Hauptplattform abzusichern; vielmehr müssen alle Werkzeuge und Dienste, die im „Hintergrund“ (Third-party dependencies) arbeiten, geschützt werden. Das gezielte Angreifen von Performance-Monitoring-Tools (RUM) stellt eine ernsthafte Bedrohung dar, da diese Werkzeuge von Natur aus die Fähigkeit besitzen, mit der Benutzeroberfläche zu interagieren. Dies macht sie zu einem idealen Ziel für Angriffe, die Berechtigungen aktiver Sitzungen ausnutzen, ohne dass herkömmliche Passwörter geknackt werden müssen, was die Spielregeln bei der Bewertung von Drittanbieterrisiken grundlegend verändert.