Polymarket wird Benutzern nach dem Diebstahl von 3 Millionen Dollar durch Hacker in einem Frontend-Angriff Rückerstattungen gewähren

Polymarket bestätigte am Freitag, dass ein kompromittierter Drittanbieter es Angreifern ermöglichte, bösartigen Code in sein Frontend einzuschleusen, wodurch etwa 3 Millionen Dollar von weniger als 15 Benutzerkonten abgezogen wurden.

Die Plattform sagt, dass sie allen betroffenen Nutzern den vollen Betrag zurückerstatten wird.

Was ist passiert

Der Angriff wurde zuerst von dem On-Chain-Sicherheitsforscher Specter gemeldet, der postete, dass eine offensichtliche Phishing-Kampagne Gelder aus mehr als 11 Opfer-Wallets abgezogen hatte, die Polymarkets PUSD-Stablecoin hielten.

Zu diesem Zeitpunkt schätzten sie die Verluste auf 2,94 Millionen Dollar, wobei PeckShield die Zahl kurz darauf bestätigte und feststellte, dass der Angreifer die gestohlenen Gelder von Polygon nach Ethereum transferiert und in 1.893 ETH umgewandelt hatte.

Der Vorhersagemarkt erkannte den Vorfall über eines seiner offiziellen Konten, Polymarket Traders, an.

„Heute Morgen haben wir entdeckt, dass ein Drittanbieter kompromittiert wurde, der ein bösartiges Skript in unser Frontend für einige Benutzer injiziert hat. Wir haben es eingedämmt und die betroffene Abhängigkeit entfernt“, schrieb es auf X. „Wir kontaktieren die betroffenen Nutzer und erstatten ihnen den vollen Betrag.“

William LeGate, der eng mit der Plattform zusammenarbeitet, bestätigte die Nachrichten über die Entschädigung und wiederholte, dass das Problem gelöst sei und die betroffenen Nutzer ihr Geld vollständig zurückbekommen würden.

Ein weiterer Blockchain-Sicherheitsdienst, GoPlus Security, beschrieb den Vorfall als einen Supply-Chain-Angriff. Er sagte, dass der bösartige Code etwa 15 Konten betroffen habe, mit Verlusten von insgesamt 3 Millionen Dollar, eine Schlussfolgerung, die auch von Bubblemaps gezogen wurde, die Polymarkets Reaktion lobten, nachdem die Verluste eingedämmt wurden.

Ein wiederkehrendes Problem

Dies ist nicht das erste Mal, dass Polymarket betroffen ist. Letzten Monat gab die Plattform einen weiteren Vorfall bekannt, bei dem ein Admin-Wallet, das für die Aufladung von Mitarbeiterprämien verwendet wurde, um etwa 700.000 Dollar erleichtert wurde, wahrscheinlich durch einen Kompromiss des privaten Schlüssels. Zunächst hatte der Krypto-Ermittler ZachXBT die Verluste auf etwa 520.000 Dollar geschätzt, wobei Bubblemaps später die höhere Zahl nannte, nachdem die Gelder über mehrere Adressen verfolgt wurden.

Entwickler Josh Stevens bestätigte zu diesem Zeitpunkt, dass ein 6 Jahre alter privater Schlüssel durch eine interne Konfiguration offengelegt worden war und dass das Unternehmen seitdem die Anmeldeinformationen gewechselt und auf Schlüsselmanagementdienste umgestellt hatte. Dieser Vorfall berührte jedoch keine Benutzerfonds oder Kernverträge.

Während die beiden Vorfälle unterschiedliche Angriffsarten betrafen, richteten sie sich beide gegen Systeme außerhalb der eigentlichen Vorhersagemärkte von Polymarket. Darüber hinaus kam der letzte Vorfall zu einem Zeitpunkt, an dem die Plattform bereits mit anderen reputationsschädigenden Herausforderungen konfrontiert ist, einschließlich eines kürzlichen Berichts des Wall Street Journal, der behauptete, dass sie college-alter Kreatoren zwischen 2.000 und 3.000 Dollar pro Monat gezahlt habe, um Videos von inszenierten Wetten auf Dummy-Versionen der Polymarket-Website zu posten, wobei nicht einmal eines der über 1.100 Clips auf echte Blockchain-Aktivitäten zurückverfolgt werden konnte.

Es gab auch eine weitere Kontroverse Anfang dieses Monats, als ein Händler behauptete, er habe 500.000 Dollar verloren, nachdem der Vorhersagedienst angeblich die Auflösungsregeln für einen Markt, der mit dem Bitcoin-Verkauf von Strategy verbunden war, geändert hatte.

Quelle: CryptoPotato