Согласно Bitquery, за час злоумышленники провели 985 операций по выводу средств. Транзакции проходили через штатную инфраструктуру Polymarket с действительными разрешениями владельцев счетов. Смарт-контракты принимали их за обычные операции пользователей.
На четыре счета пришлось около 43% всего ущерба. Крупнейшее отдельное списание составило $358 369, тогда как 276 пользователей потеряли менее $100 каждый. Помимо криптовалюты хакеры вывели доли в рынках прогнозов с 33 счетов. Стоимость этих активов аналитики не учитывали, поэтому общие потери могут оказаться выше.
Специалисты рассказали, что вредоносный JavaScript-код распространялся через инфраструктуру британского сервиса мониторинга сайтов DebugBear. Программа получала доступ к активным торговым сессиям пользователей, проверяла балансы кошельков и открытые позиции, после чего пыталась продать активы или перевести их на адрес хакера.
Для проведения операций использовались предусмотренные Polymarket механизмы подписания транзакций EIP-712 и сервис Relayer. В изученном коде исследователи не нашли функций для кражи приватных ключей или сид-фраз. Злоумышленники пытались воспользоваться полномочиями уже авторизованных пользователей. Каким способом им удалось первоначально проникнуть в инфраструктуру подрядчика, пока неизвестно.
Команда Polymarket приостановила отправку транзакций и перевели площадку в режим отмены заявок. Позже представители площадки объявили об устранении проблемы и подтвердили взлом стороннего поставщика. Платформа пообещала полностью возместить потери пострадавшим и передала информацию правоохранительным органам.
Похищенную криптовалюту хакеры преимущественно обменивали на токены POL, а затем распределяли между тремя новыми кошельками. Часть средств перевели из Polygon в Эфириум через кроссчейн-мосты Relay и deBridge.
Ранее неизвестные злоумышленники вывели более $700 000 в токенах POL с кошельков системы выплат вознаграждений Polymarket. Тогда причиной инцидента стала компрометация приватного ключа внутреннего операционного кошелька платформы.
