Voorspellingsmarkt Polymarket heeft donderdag 29 oktober de handel tijdelijk stilgelegd nadat aanvallers een externe dienstverlener hadden gecompromitteerd om een cryptodiefstal-script te verspreiden. Onderzoekers traceerden ongeveer 2,5 miljoen dollar aan activa naar een vermoedelijke portemonnee van de aanvaller.
De besmette code kwam van DebugBear, een dienst die websiteprestaties monitort. Het kwaadaardige script zat verstopt in het Real User Monitoring-product van DebugBear en werd via die infrastructuur op Polymarket geladen. Zodra een bezoeker ingelogd was, misbruikte het script zijn handelssessie: afhankelijk van de manier van inloggen verkocht het automatisch posities of droeg het voorspellingsmarkt-tokens over naar een portemonnee van de aanvaller, met instructies die het script ophaalde van een domein van DebugBear.
Tussen 13:50 en 13:56 uur Amerikaanse oostkusttijd voerde de portemonnee van de aanvaller tientallen transacties uit met Polymarkets eigen token. Om 13:59 uur verwijderde Polymarket het DebugBear-script al via een update, en om 14:05 uur zette het platform de handel in een alleen-annuleren-modus. Om 14:37 uur meldde Polymarket dat het probleem was verholpen, maar dat de handel uit voorzorg nog even stillag. Ongeveer een uur later ging de handel weer volledig open, en om 15:05 uur werd het incident als afgehandeld gemarkeerd.
Polymarket zegt het incident te hebben gemeld bij de politie en belooft getroffen gebruikers volledig te vergoeden, zonder te specificeren hoe dat proces eruitziet. Hoeveel gebruikers zijn getroffen en hoeveel er in totaal is buitgemaakt, is niet bekendgemaakt: het getraceerde bedrag van 2,5 miljoen dollar betreft wat naar drie portemonnees is doorgesluisd, niet per se het volledige verlies. DebugBear meldde op X dat het een lopend beveiligingsincident onderzoekt en adviseerde klanten die het monitoringproduct gebruiken, de embed-code van hun site te verwijderen.
Voor Nederlandse gebruikers van Polymarket of vergelijkbare platforms is de les dat ook een schijnbaar onschuldig stukje analyticscode van een derde partij een handelssessie kan kapen. Heb je rond 29 oktober via Polymarket gehandeld, controleer dan je transactiehistorie en zet waar mogelijk tweefactorauthenticatie aan voor accounts die aan een wallet verbonden zijn.
Update 1 november: Het definitieve schadebedrag ligt hoger dan het eerder getraceerde bedrag van 2,5 miljoen dollar. Polymarket heeft 2,7 miljoen dollar terugbetaald aan 726 getroffen wallets, het bedrag dat daadwerkelijk via het gekaapte script is weggesluisd. Blockchainanalist Ohey traceerde dat de wallet van de aanvaller tussen 17:10 en 18:02 uur UTC 28,6 miljoen POL-tokens en posities van 33 wallets ontving, op dat moment zo’n 2,64 miljoen dollar waard. Een halfuur later, tussen 18:28 en 18:38 uur, werd dat bedrag al doorgesluisd naar drie andere adressen. Daarnaast keert Polymarket nog eens 1,19 miljoen dollar uit aan ongeveer 5.500 wallets die schade leden tijdens de handelspauze of wier posities werden overgenomen, wat de totale uitkering op 3,9 miljoen dollar brengt.
Nieuw is ook hoe het script precies werkte. Het las API-sleutels uit de browser en zocht naar de onderdelen die orders plaatsen en transacties ondertekenen. Bij accounts met een eigen wallet gingen posities direct naar de aanvaller; bij accounts die via e-mail inloggen, verkocht het script posities tegen steeds slechtere prijzen voordat het geld werd weggehaald. DebugBear meldt dat niet het eigen systeem is gehackt, maar dat de DNS-instellingen van zijn domein via de domeinregistrar zijn overgenomen. Op 1 november had het adres cdn.debugbear.com zelfs geen DNS-record meer.
Van de 726 getroffen wallets waren er op 30 oktober al 689 volledig terugbetaald, de overige 37 volgden na controle. Gedupeerde traders hoeven zelf geen claim in te dienen; wie het uitgekeerde bedrag betwist, kan een formulier invullen via Polymarkets statuspagina. Het platform beveiligt de handel inmiddels met een strikter content security policy, vastgezette scriptversies en sandboxing van externe code. Beveiligingsbedrijf Hudson Rock adviseert sites om alleen essentiële derdepartij-scripts te laden op pagina’s waar gebruikers handelen of iets ondertekenen, en raadt traders aan onverwachte ondertekeningsverzoeken altijd te weigeren.
Bron: BleepingComputer, The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.