Платформа прогнозов Polymarket столкнулась с кибератакой типа «атака на цепочку поставок» (Supply Chain Attack), которая привела к выводу миллионов долларов со счетов трейдеров на ее международной платформе. Платформа объявила о временной приостановке торгов 29 октября после обнаружения несанкционированных выводов средств, подтвердив, что компенсирует ущерб всем пострадавшим в результате этого инцидента.
Механизм атаки: использование инструментов мониторинга
Исследователи из компании Hudson Rock выявили, что атака не была направлена непосредственно на инфраструктуру Polymarket, а была осуществлена через вредоносный код (JavaScript), внедренный через DebugBear — британскую компанию, специализирующуюся на мониторинге производительности веб-сайтов.
Вредоносный код использовал инструмент «мониторинга реальных пользователей» (RUM), принадлежащий DebugBear, для выполнения следующих действий:
- Поиск торговых инструментов и кошельков пользователей, которые уже вошли в систему.
- Использование прав доступа в активных сессиях (Authenticated sessions) без необходимости кражи паролей, закрытых ключей или мнемонических фраз напрямую.
- Продажа финансовых позиций пользователей или перевод токенов (Tokens) непосредственно на адреса, контролируемые злоумышленниками.
Оценки материального ущерба
Цифры, касающиеся объема кражи, варьируются в зависимости от аналитики, предоставленной компаниями по кибербезопасности:
- Компания Hudson Rock оценила сумму примерно в 2,19 миллиона долларов на адресе злоумышленника, запрограммированном в коде.
- В то же время компания по кибербезопасности GoPlus указала, что убытки могут достигать 2,71 миллиона долларов, отметив, что атака затронула 710 депозитных кошельков и 731 различный адрес.
Со своей стороны, DebugBear подтвердила факт инцидента безопасности и призвала своих пользователей немедленно удалить их программное обеспечение (сниппет) со своих сайтов, отметив, что привлекла специализированных экспертов для реагирования на инциденты. Стоит отметить, что американская платформа Polymarket не пострадала от этой атаки.
Почему эта новость важна?
Этот инцидент подчеркивает растущие риски в безопасности программного обеспечения, где уже недостаточно защищать только основную платформу — необходимо обеспечивать безопасность всех инструментов и сервисов, работающих в «фоновом режиме» (сторонние зависимости). Использование инструментов мониторинга производительности (RUM) представляет собой серьезную угрозу, поскольку эти инструменты по своей природе обладают способностью взаимодействовать с пользовательским интерфейсом, что делает их идеальной целью для проведения атак, использующих права доступа активных сессий без необходимости взлома традиционных паролей, что меняет правила игры в том, как оцениваются риски третьих сторон.