A Polymarket interrompeu as negociações em sua plataforma internacional em 29 de outubro, depois que usuários relataram saques não autorizados.
De acordo com a página de status do mercado de previsões, a bolsa passou primeiro para o modo somente cancelamento, com as ações do relayer suspensas.
“Identificamos e corrigimos um problema que afetava nossa plataforma internacional, Polymarket.com. Um dos nossos provedores terceirizados foi comprometido, e encaminhamos o caso às autoridades competentes. Todos os afetados serão integralmente ressarcidos”, afirmou a empresa em publicação.
As negociações foram retomadas cerca de uma hora depois, e a Polymarket se comprometeu a reembolsar todos os usuários afetados. A empresa não revelou o nome do fornecedor nem divulgou as perdas.
Pesquisadores ligaram o roubo a código malicioso servido pela DebugBear, empresa com sede no Reino Unido especializada em monitoramento de desempenho de sites. A plataforma da Polymarket nos Estados Unidos teria sido poupada.
A DebugBear confirmou ter sido “afetada por um incidente de segurança em andamento” e pediu aos usuários de seu produto de monitoramento de experiência real do usuário (RUM, na sigla em inglês para Real User Monitoring) que removessem o snippet dos seus sites. A empresa também afirmou ter contratado especialistas em resposta a incidentes.
A Hudson Rock obteve uma cópia do JavaScript malicioso a partir de um endereço da DebugBear usado pela Polymarket. O código procurava as ferramentas de negociação e o portfólio de um usuário conectado. Dependendo do tipo de conta, ele tentava vender as posições e movimentar os valores obtidos ou enviar diretamente os tokens de posição para um endereço definido pelo invasor.
“O exemplo analisado lê material relacionado a credenciais, mas nossa revisão não identificou uma rotina que envie o mapa de credenciais, uma senha, uma frase de recuperação ou uma chave privada para seu endpoint de relatórios. Sua abordagem central é reutilizar a autoridade já disponível no aplicativo autenticado”, afirmou a Hudson Rock.
A empresa também identificou uma versão de produção da Polymarket, com carimbo de data e hora de 17h59 UTC (Tempo Universal Coordenado), acompanhada de uma nota de alteração sobre a remoção do script da DebugBear.
As estimativas de perdas variam. Uma captura de tela analisada pela Hudson Rock mostrou cerca de US$ 2,19 milhões no endereço de contingência fixado no script, embora a empresa tenha ressaltado que esse número não é uma contagem verificada.
A GoPlus, empresa de segurança em blockchain que também atribuiu o ataque a um comprometimento da cadeia de suprimentos do script RUM da DebugBear, estima as perdas em cerca de US$ 2,71 milhões. Segundo sua análise on-chain, o principal caminho do ataque passou por 710 carteiras de depósito e 731 endereços, embora o número de endereços não corresponda ao número de vítimas.
Dados da Arkham mostraram que uma carteira suspeita de invasor continha aproximadamente US$ 2,65 milhões. Esse é o mesmo endereço fixado no script como destinatário de contingência.
A Hudson Rock ainda não determinou como o script foi adulterado nem quantos usuários foram atingidos. Suas conclusões não indicam que outros clientes da DebugBear tenham sido alvo.
O ataque ocorreu no mesmo dia em que a Binance sofreu uma invasão de cerca de US$ 6 bilhões, que empresas de inteligência em blockchain atribuíram à Coreia do Norte. Em junho, a Polymarket havia revelado outro comprometimento de terceiros, que injetou um script malicioso em sua interface, com perdas estimadas em cerca de US$ 3 milhões.
