پلی مارکت معاملات را پس از نقض اسکریپت تخلیه رمزنگاری متوقف کرد، ردیابی 2.5 میلیون دلار

این شرکت این حادثه امنیتی را تأیید کرد و گفت که مشکلی را که بر پلتفرم بین‌المللی خود، Polymarket.com تأثیر می‌گذاشت، شناسایی و برطرف کرده و نقض را به مجریان قانون ارجاع داده است.

Polymarket گفت: "یکی از ارائه دهندگان شخص ثالث ما در معرض خطر قرار گرفت و ما این موضوع را به مجریان قانون مربوطه ارجاع داده ایم."

"هرکسی که تحت تاثیر قرار گرفته باشد کامل خواهد شد. به دلیل احتیاط فراوان، معاملات را به طور موقت متوقف کرده ایم و در تلاش هستیم تا این پلتفرم را آنلاین کنیم."

پلی مارکت در ابتدا صرافی خود را در ساعت 2:05 بعد از ظهر در حالت فقط لغو قرار داد. ET و اقدامات رله را در حین بررسی حادثه متوقف کردند. در ساعت 2:37 بعد از ظهر، شرکت اعلام کرد که این مشکل برطرف شده است و به دلیل احتیاط فراوان، معاملات به طور موقت متوقف شده است.

معاملات تقریبا یک ساعت پس از توقف اولیه از سر گرفته شد و این حادثه در ساعت 3:05 بعد از ظهر برطرف شد. ET.

این شرکت در X اعلام کرد: «اکنون تجارت کاملا آنلاین است. ما این کار را درست خواهیم کرد و همه معامله‌گران آسیب‌دیده را به‌طور کامل بازپرداخت می‌کنیم.»

Polymarket فاش نکرده است که چه تعداد از کاربران تحت تأثیر قرار گرفته اند، چه مقدار ارز دیجیتال به سرقت رفته است یا روند بازپرداخت چگونه کار خواهد کرد.

محققان امنیتی در هادسون راک یک کیف پول مشکوک تحت کنترل مهاجم (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18) را شناسایی کردند که در جاوا اسکریپت مخرب جاسازی شده بود.

سوابق بلاک چین همچنین نشان می‌دهد که کیف پول معاملات متعددی را که شامل قرارداد توکن پیش‌بینی بازار Polymarket است، بین ساعت 1:50 بعد از ظهر انجام داده است. و 1:56 بعد از ظهر ET، اندکی قبل از اینکه صرافی معاملات را به حالت تعلیق درآورد.

محققان امنیتی در هادسون راک جاوا اسکریپت مخربی را شناسایی کردند که از طریق cdn.debugbear[.]com/C7xcKKrjUnXK.js توزیع شده بود که برای سرقت ارزهای دیجیتال و دارایی های بازار پیش بینی از کاربران پلی مارکت طراحی شده بود.

این اسکریپت بر روی زیرساخت متعلق به DebugBear میزبانی شد، یک سرویس نظارت بر عملکرد وب سایت که به سازمان ها کمک می کند سرعت بارگذاری وب سایت و تجربه کاربر را ردیابی کنند.

سرویس نظارت واقعی کاربر DebugBear (RUM) از جاوا اسکریپت تعبیه شده در وب سایت ها برای جمع آوری معیارهای عملکرد از مرورگرهای بازدیدکنندگان استفاده می کند.

DebugBear از آن زمان تأیید کرده است که در حال بررسی یک حادثه امنیتی در حال انجام است و به مشتریان هشدار داده است که جاوا اسکریپت نظارتی خود را از وب سایت های خود حذف کنند.

DebugBear در پستی در X گفت: "ما تحت تاثیر یک حادثه امنیتی مداوم هستیم."

"اگر از محصول RUM ما استفاده می کنید، لطفا کد جاسازی شده را از وب سایت خود حذف کنید."

در زمان نگارش این مقاله، وب سایت DebugBear غیرقابل دسترسی بود و یک خطای Cloudflare را نشان می داد. مشخص نیست که قطع شدن وب سایت مربوط به تلاش های مهار یا پیامدهای دیگر این حادثه است.

محققان هادسون راک همچنین متادیتای ساخت تولید Polymarket را کشف کردند که حاوی پیام commit بود، «کار (پلی‌مارکت): حذف اسکریپت debugbear rum (#15337)» که نشان می‌دهد پلتفرم ادغام نظارت DebugBear را حذف کرده است.

زمان ساخت در 29 اکتبر در ساعت 1:59 بعد از ظهر ثبت شد. ET، اندکی قبل از اینکه Polymarket به طور عمومی این حادثه را اعلام کرد.

BleepingComputer یک کپی از فایل مخرب جاوا اسکریپت (VirusTotal) را تجزیه و تحلیل کرد و دریافت که این فایل برای ربودن جلسات تجاری تأیید شده Polymarket، انحلال موقعیت‌های پیش‌بینی کاربران در بازار و انتقال ارز دیجیتال و سایر دارایی‌ها به یک کیف پول تحت کنترل مهاجم طراحی شده است.

این بدافزار بررسی می‌کند که آیا بازدیدکننده به Polymarket وارد شده است یا خیر و سعی می‌کند از جلسه معاملاتی موجود خود و عملکرد معاملاتی پلتفرم برای انجام تراکنش‌های غیرمجاز استفاده کند.

سپس موجودی ارزهای دیجیتال و موقعیت پیش بینی در بازار کاربر را بررسی می کند تا ارزش دارایی آنها را تعیین کند.

بسته به نحوه احراز هویت کاربر در Polymarket، بدافزار سعی می کند دارایی های آنها را به روش های مختلف سرقت کند.

برای برخی از کاربران، سعی می‌کند به طور خودکار موقعیت‌های پیش‌بینی بازار خود را بفروشد. برای دیگران، بدافزار تلاش می‌کند تا توکن‌های بازار پیش‌بینی خود را مستقیما به یک کیف پول تحت کنترل مهاجم منتقل کند.

این بدافزار همچنین تلاش می‌کند تا دارایی‌های رمزنگاری شده کاربران را با استفاده از عملکرد تراکنش‌های موجود پلی مارکت، به دارایی‌هایی تبدیل کند که می‌توانند به کیف پول تحت کنترل مهاجم منتقل شوند.

BleepingComputer دریافت که اسکریپت مخرب با data.debugbear.com ارتباط برقرار می کند تا دستورالعمل ها را دریافت کند و داده هایی را درباره حساب های هدف، آدرس کیف پول، موجودی ها و نتایج تراکنش ارسال کند.

استفاده از زیرساخت DebugBear هم برای توزیع اسکریپت مخرب و هم خدمت به عنوان یک فرمان و کنترل (C2) و سرور استخراج داده، سؤالاتی را در مورد میزان دسترسی مهاجمان به سیستم های شرکت ایجاد می کند.

BleepingComputer با Polymarket و DebugBear در مورد این حادثه تماس گرفته است و در صورت دریافت پاسخ، این مقاله را به روز می کند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

Metamask رخداد امنیتی را فاش می کند که بر زیرساخت های آن تأثیر می گذارد

Ahold Delhaize: حمله سایبری بر خدمات در سراسر ایالات متحده و اروپا تأثیر می گذارد

غول خرده فروشی Ahold Delhaize سیستم ها را پس از حمله سایبری آفلاین می کند