La plateforme de prédiction Polymarket a fait face à une cyberattaque de type « chaîne d'approvisionnement » (Supply Chain Attack) qui a conduit au drainage de millions de dollars des comptes des traders sur sa plateforme internationale. La plateforme a annoncé la suspension temporaire des transactions le 29 octobre après avoir détecté des retraits non autorisés, confirmant qu'elle indemniserait toutes les personnes touchées par cet incident.
Mécanisme de l'attaque : exploitation des outils de surveillance
Les chercheurs de la société Hudson Rock ont révélé que l'attaque ne visait pas directement l'infrastructure de Polymarket, mais a été menée via un code malveillant (JavaScript) injecté par le biais de DebugBear, une société britannique spécialisée dans la surveillance des performances des sites web.
Le code malveillant a exploité l'outil de « surveillance des utilisateurs réels » (RUM) de DebugBear pour effectuer les actions suivantes :
- Rechercher les outils de trading et les portefeuilles des utilisateurs déjà connectés.
- Exploiter les autorisations disponibles dans les sessions actives (Authenticated sessions) sans avoir besoin de voler directement les mots de passe, les clés privées ou les phrases de récupération.
- Vendre les positions financières des utilisateurs ou transférer les jetons (Tokens) directement vers des adresses contrôlées par les attaquants.
Estimations des pertes financières
Les chiffres concernant le volume du vol varient selon les analyses disponibles auprès des sociétés de cybersécurité :
- La société Hudson Rock a estimé la présence d'environ 2,19 millions de dollars sur l'adresse de l'attaquant préprogrammée dans le code.
- La société de cybersécurité GoPlus a indiqué que les pertes pourraient atteindre 2,71 millions de dollars, précisant que l'attaque a transité par 710 portefeuilles de dépôt et 731 adresses différentes.
De son côté, DebugBear a confirmé avoir subi un incident de sécurité et a exhorté ses utilisateurs à supprimer immédiatement ses logiciels (Snippet) de leurs sites, indiquant avoir fait appel à des experts spécialisés pour répondre aux incidents. Il convient de noter que la plateforme américaine de Polymarket n'a pas été affectée par cette attaque.
Pourquoi cette nouvelle est-elle importante ?
Cet incident met en lumière les risques croissants en matière de sécurité logicielle, où il ne suffit plus de sécuriser uniquement la plateforme principale, mais où il est nécessaire de sécuriser tous les outils et services fonctionnant en « arrière-plan » (Third-party dependencies). Le ciblage des outils de surveillance des performances (RUM) représente une menace grave car ces outils possèdent intrinsèquement la capacité d'interagir avec l'interface utilisateur, ce qui en fait une cible idéale pour exécuter des attaques exploitant les autorisations des sessions actives sans avoir besoin de pirater les mots de passe traditionnels, ce qui change la donne dans la manière d'évaluer les risques liés aux tiers.