Polymarket gặp sự cố bảo mật hàng triệu USD thứ hai trong vòng bốn tháng
Polymarket đã mở lại giao dịch vào ngày 29/10 sau khi một nhà cung cấp bên thứ ba bị xâm phạm làm gián đoạn thị trường dự đoán quốc tế này. Đây là vụ xâm phạm bảo mật thiệt hại hàng triệu USD thứ hai của Polymarket trong vòng bốn tháng. Nhật ký sự cố chính thức của Polymarket ghi thời điểm bắt đầu hạn chế giao dịch là 18:05 UTC và thời điểm khắc phục là 19:05 UTC. Polymarket cho biết sự cố đã được khắc phục và cơ quan thực thi pháp luật đã được thông báo. Công ty cũng cam kết bồi thường đầy đủ cho người dùng bị ảnh hưởng. Bubblemaps, công ty phân tích chuỗi khối, ước tính vụ xâm phạm ngày 29/10 ảnh hưởng đến hơn 700 người dùng Polymarket và khoảng 3,46 triệu USD tài sản bị xâm phạm. Kẻ tấn công đã đổi khoảng 2,7 triệu USD sang POL và chuyển số tiền ra ngoài. Khoảng 750.000 USD còn lại trên Polymarket tại thời điểm đánh giá. Ngày 25/6, Polymarket công bố một nhà cung cấp bị xâm phạm đã tạo điều kiện chèn một đoạn mã độc. Polymarket cho biết phụ thuộc bị ảnh hưởng đã được gỡ bỏ và cam kết hoàn tiền đầy đủ. Source Defense báo cáo thiệt hại khoảng 3 triệu USD từ vụ tấn công tháng 6. Source Defense truy vết việc phân phối mã đến một thẻ tiếp thị tải thư viện nhận dạng bên ngoài, mà kẻ tấn công đã thay bằng một drainer được thiết kế riêng cho Polymarket. Các nhà nghiên cứu Source Defense cho biết payload tháng 6 nhắm vào các ví nắm giữ hơn 100.000 USD và liên tục yêu cầu ủy quyền kỹ thuật số. Một ủy quyền được chấp thuận đã đi qua relayer của Polymarket, thành phần gửi các hành động đã ký. Phân tích tháng 10 của Hudson Rock mô tả đoạn mã lấy từ một URL liên kết với DebugBear nhằm tìm ứng dụng giao dịch đang hoạt động và signer trong một phiên đã đăng nhập. Signer là thành phần yêu cầu ủy quyền mật mã. Hudson Rock phát hiện hành vi được lập trình của đoạn mã thay đổi theo loại tài khoản. Một nhánh yêu cầu chuyển token vị thế; nhánh khác yêu cầu bán rồi chuyển tiền thu được. Hudson Rock cũng xác định được siêu dữ liệu bản dựng production ghi lại việc gỡ bỏ script giám sát DebugBear. Phân tích tĩnh của Hudson Rock không chứng minh rằng đoạn mã đã thực thi, lấy chữ ký một cách âm thầm hay đánh cắp khóa riêng tư. Phân tích cũng chưa thiết lập được dấu vết đầy đủ từ nạn nhân đến người nhận. Siêu dữ liệu về việc gỡ bỏ không xác định chính xác thời điểm phơi nhiễm của người dùng kết thúc. Phụ thuộc tiếp thị trong vụ tháng 6 và script gắn với giám sát trong vụ tháng 10 tạo ra các đường tiếp cận khác nhau vào một giao diện nhạy cảm về tài chính. Cơ chế tháng 6 được cho là phụ thuộc vào các ủy quyền đã được phê duyệt; mã tháng 10 tìm kiếm công cụ giao dịch và yêu cầu chữ ký. Chỉ thay thế nhà cung cấp bị xâm phạm không giải quyết vấn đề rộng hơn là mã độc tiếp cận các chức năng tài chính trong website. Các vụ xâm phạm lặp lại đặt ra câu hỏi về quyền hạn tài chính mà mã bên ngoài có thể truy cập qua trình duyệt của nhà giao dịch. Tài liệu trình duyệt của MDN cho biết script bên thứ ba được tải trực tiếp vào trang có thể tiếp cận các script và dữ liệu khác trên trang đó. MDN giải thích rằng lưu trữ script ở nơi khác không loại bỏ quyền truy cập đó; nội dung cross-origin trong một khung riêng có ranh giới bảo mật khác. Giảm mã bên ngoài, hạn chế yêu cầu chữ ký và kiểm tra tệp tải xuống giải quyết các giai đoạn khác nhau của chuỗi tấn công. Gỡ bỏ các tích hợp không cần thiết khỏi trang giao dịch và trang ký giúp giảm lượng mã bên ngoài được phép vào các môi trường đó. Rà soát quyền truy cập của signer và xác định các hành động cần người dùng xác nhận mới giúp hạn chế yêu cầu mà mã có thể đưa ra sau khi có quyền truy cập. Subresource Integrity cho phép trình duyệt kiểm tra script tải xuống dựa trên dấu vân tay mật mã dự kiến và từ chối các tệp bị thay đổi. Subresource Integrity cũng có thể bảo vệ một tài nguyên được ghim phù hợp trên miền tin cậy. Một báo cáo phân tích sau sự cố chi tiết về thời gian phơi nhiễm, tài khoản bị ảnh hưởng và các đường ủy quyền sẽ giúp đánh giá rủi ro còn lại. Liệu một tích hợp bị xâm phạm khác có thể biến quyền truy cập giao diện giao dịch thành ủy quyền tài chính có thể sử dụng hay không vẫn chưa được giải đáp.
