Tahmin platformu Polymarket, uluslararası platformundaki yatırımcıların hesaplarından milyonlarca doların boşaltılmasına yol açan bir "tedarik zinciri" (Supply Chain Attack) siber saldırısıyla karşı karşıya kaldı. Platform, 29 Ekim'de yetkisiz para çekme işlemlerinin tespit edilmesinin ardından ticareti geçici olarak askıya aldığını duyurdu ve bu olaydan etkilenen herkesin zararının karşılanacağını teyit etti.
Saldırı mekanizması: İzleme araçlarının istismarı
Hudson Rock şirketindeki araştırmacılar, saldırının doğrudan Polymarket'in altyapısını hedef almadığını, bunun yerine web sitesi performans izleme konusunda uzmanlaşmış İngiliz şirketi DebugBear aracılığıyla enjekte edilen kötü amaçlı bir kod (JavaScript) ile gerçekleştirildiğini ortaya çıkardı.
Kötü amaçlı kod, DebugBear'ın "Gerçek Kullanıcı İzleme" (RUM) aracını kullanarak şunları gerçekleştirdi:
- Hali hazırda giriş yapmış kullanıcıların ticaret araçlarını ve cüzdanlarını aramak.
- Şifreleri, özel anahtarları veya kurtarma ifadelerini doğrudan çalmaya gerek kalmadan aktif oturumlardaki (Authenticated sessions) mevcut yetkileri istismar etmek.
- Kullanıcıların finansal pozisyonlarını satmak veya token'ları doğrudan saldırganların kontrolündeki adreslere aktarmak.
Maddi kayıp tahminleri
Siber güvenlik şirketlerinden elde edilen analizlere göre çalınan miktara ilişkin rakamlar değişiklik göstermektedir:
- Hudson Rock şirketi, kodun içine önceden programlanmış saldırgan adresinde yaklaşık 2,19 milyon dolar olduğunu tahmin etti.
- Siber güvenlik şirketi GoPlus ise kayıpların 2,71 milyon dolara ulaşabileceğini belirterek, saldırının 710 para yatırma cüzdanı ve 731 farklı adres üzerinden gerçekleştiğine dikkat çekti.
DebugBear ise bir güvenlik olayı yaşadığını doğruladı ve kullanıcılarını yazılımlarını (Snippet) sitelerinden derhal kaldırmaya çağırdı; ayrıca olay müdahalesi için uzmanlarla çalıştıklarını belirtti. Polymarket'in ABD platformunun bu saldırıdan etkilenmediğini belirtmekte fayda var.
Bu haber neden önemli?
Bu olay, yazılım güvenliğindeki artan risklere ışık tutuyor; artık sadece ana platformu güvence altına almak yeterli değil, "arka planda" (üçüncü taraf bağımlılıklar) çalışan tüm araç ve hizmetlerin de güvence altına alınması gerekiyor. Performans izleme araçlarının (RUM) hedeflenmesi ciddi bir tehdit oluşturuyor çünkü bu araçlar doğası gereği kullanıcı arayüzü ile etkileşime girme yeteneğine sahiptir. Bu durum, onları geleneksel şifreleri kırmaya gerek kalmadan aktif oturum yetkilerini istismar eden saldırıları gerçekleştirmek için ideal bir hedef haline getiriyor ve üçüncü taraf risklerinin nasıl değerlendirileceği konusunda oyunun kurallarını değiştiriyor.