Взлом Polymarket: 737 кошельков потеряли $2,73 млн за час
Хакеры вывели $2,73 млн из 737 кошельков Polymarket за один час, сообщила Bitquery.
Инцидент произошёл в промежутке с 17:10 до 18:10 UTC. Средства были конвертированы в токен POL сети Polygon и распределены по нескольким кошелькам, часть активов позже перевели в Ethereum. Polymarket заявила, что вернула средства 95% пострадавших кошельков, а общий объём возвратов и компенсаций достигнет $3,9 млн.
Главное
- Из 737 кошельков Polymarket выведено $2,73 млн в период с 17:10 до 18:10 UTC
- Крупнейшая единичная потеря — около $358 тыс., четыре аккаунта дали 43% украденного
- Атакующий получил около 28,64 млн токенов POL и распределил их по трём кошелькам
- Polymarket вернула средства 95% кошельков, общие компенсации достигнут $3,9 млн
- Причиной названа замена стороннего скрипта сайта вредоносным кодом
Расследование Bitquery показало, что автоматические выводы проходили через официальный релей транзакций Polymarket — сервис, который отправляет блокчейн-транзакции, авторизованные пользователями, позволяя торговать без прямой оплаты сетевых комиссий за каждую операцию. Исследователи выяснили, что одобрения кошельков в этих выводах выглядели действительными для базовых смарт-кошельков. В выборке из 30 транзакций между генерацией одобрения и исполнением проходило от трёх до семи секунд — картина, характерная для автоматизированной активности.
Потери по счетам сильно различались. Крупнейшая единичная потеря составила около $358 тыс., при этом четыре аккаунта вместе дали 43% похищенных средств. Ещё 276 аккаунтов потеряли менее $100 каждый.
Следователи нашли адрес, контролируемый атакующим, который получил примерно 28,64 млн токенов POL. Активы затем распределили между тремя новыми кошельками. Часть средств позже перевели в Ethereum через Relay, deBridge и нативный мост Polygon. На момент окончания расследования в 19:49 UTC около $2,17 млн оставалось в трёх кошельках Polygon. Ещё один выявленный кошелёк в Ethereum держал 126,10 ETH.
Атакующий также перенёс позиции на рынках предсказаний из 33 аккаунтов и создал новый аккаунт Polymarket, чтобы продать часть украденных долей. Ещё одна транзакция вызвала вопросы ко времени реакции платформы: Bitquery зафиксировала дополнительный вывод $10,99 в 19:11 UTC — примерно через 38 минут после того, как компания заявила об устранении проблемы. Эта транзакция не доказывает, что уязвимость оставалась широко эксплуатируемой после исправления, но оставляет открытым вопрос о том, когда именно меры вступили в силу.
В официальном отчёте Polymarket сообщила, что атакующий заменил сторонний скрипт сайта вредоносным кодом, нацеленным на пользователей с открытой платформой. Это указывает на компрометацию внешнего кода сайта, а не на прямой сбой смарт-контрактов. Компания удалила вредоносный скрипт, очистила кэши, сбросила активные сессии и временно приостановила торги. Общая сумма компенсаций превышает отслеженные Bitquery $2,73 млн убытков, но детального объяснения разницы в отчёте не приводится.
Что это значит
По данным HOKANEWS.COM, взлом затронул не смарт-контракты Polymarket, а сторонний скрипт сайта и процесс одобрения транзакций через релей. Это означает, что для пользователей платформы риск исходил от внешних зависимостей, а не от блокчейн-контрактов. Заявленные компенсации в $3,9 млн превышают отслеженные $2,73 млн убытков, при этом отчёт не объясняет разницу. Дополнительный вывод $10,99 через 38 минут после сообщения об исправлении оставляет открытым вопрос о сроках устранения проблемы.
📢 Главные новости крипторынка — коротко и первыми в нашем Telegram-канале.
Читайте также
Источник: HOKANEWS.COM