Причиной инцидента специалисты по безопасности называют не уязвимость смарт-контрактов Polymarket, но компрометацию стороннего поставщика, отвечавшего за один из элементов веб-интерфейса платформы. Через него злоумышленники добавили на официальный сайт вредоносный скрипт.
При посещении Polymarket пользователи видели поддельные всплывающие окна Web3-кошельков. Вместо подтверждения ставок они фактически подписывали транзакции, разрешавшие мошенникам вывести средства со своих адресов.
Основной целью атаки стали кошельки, на которых хранились стейблкоины PUSD, используемые в качестве расчетного актива на платформе. Похищенные токены злоумышленники оперативно обменяли на эфир и через кроссчейн-мосты перевели из сети Polygon в основную сеть Эфириума. Около 1 893 ETH были консолидированы на одном адресе, сообщает PeckShield.
Позже команда Polymarket удалила скомпрометированный компонент кода и заявила, что платформа вновь работает в штатном режиме. Представители площадки заверили, что смарт-контракты, пулы ликвидности и механизм разрешения споров не пострадали. Руководство Polymarket пообещало полное возмещение ущерба всем пострадавшим пользователям.
Ранее анонимный блокчейн-детектив ZachXBT рассказывал, что мошенники вывели более $700 000 в токенах POL из кошельков системы выплаты вознаграждений сети Polygon, используемой платформой прогнозов Polymarket.
