Polymarket a confirmé vendredi qu'un fournisseur tiers compromis avait permis à des attaquants d'injecter du code malveillant dans son frontend, drainant environ 3 millions de dollars de moins de 15 comptes utilisateurs.
La plateforme dit qu'elle remboursera intégralement tous les utilisateurs affectés.
Que s'est-il passé
L'attaque a d'abord été signalée par le chercheur en sécurité on-chain Specter, qui a posté qu'une campagne de phishing apparente avait drainé des fonds de plus de 11 portefeuilles victimes détenant le stablecoin PUSD de Polymarket.
À l'époque, ils estimaient les pertes à 2,94 millions de dollars, PeckShield confirmant le chiffre peu après et notant que l'attaquant avait transféré les fonds volés de Polygon à Ethereum et les avait convertis en 1 893 ETH.
Le marché des prévisions a reconnu la violation par l'intermédiaire de l'un de ses comptes officiels, Polymarket Traders.
« Ce matin, nous avons découvert qu'un fournisseur tiers avait été compromis, injectant un script malveillant dans notre frontend pour certains utilisateurs. Nous l'avons contenu et supprimé la dépendance affectée », a-t-il écrit sur X. « Nous contactons les utilisateurs impactés et les remboursons intégralement. »
William LeGate, qui travaille en étroite collaboration avec la plateforme, a fait écho aux nouvelles concernant l'indemnisation, répétant que le problème avait été résolu et que les utilisateurs affectés récupéreraient leur argent en totalité.
Un autre compte de sécurité blockchain, GoPlus Security, a décrit l'incident comme une attaque de la chaîne d'approvisionnement. Il a déclaré que le code malveillant avait affecté environ 15 comptes, avec des pertes totalisant 3 millions de dollars, une conclusion également atteinte par Bubblemaps, qui a loué la réponse de Polymarket après que les pertes aient été contenues.
Un problème récurrent
Ce n'est pas la première fois que Polymarket est touché. Le mois dernier, la plateforme a révélé une autre violation dans laquelle un portefeuille administrateur utilisé pour les recharges de récompenses des employés a été vidé d'environ 700 000 dollars, probablement à travers un compromis de clé privée. Au départ, le détective crypto ZachXBT avait estimé les pertes à environ 520 000 dollars, Bubblemaps citant ensuite le chiffre plus élevé après avoir suivi les fonds à travers plusieurs adresses.
Le développeur Josh Stevens a confirmé à l'époque qu'une clé privée de 6 ans avait été exposée à travers une configuration interne et que l'entreprise avait depuis tourné les identifiants et passé à des services de gestion des clés. Cependant, cet incident n'a pas touché les fonds des utilisateurs ni les contrats principaux.
Bien que les deux incidents impliquent des méthodes d'attaque différentes, ils ont tous deux ciblé des systèmes en dehors des marchés de prédiction de Polymarket eux-mêmes. De plus, le dernier est survenu à un moment où la plateforme navigue déjà dans d'autres vents contraires en matière de réputation, y compris un rapport récent du Wall Street Journal, qui affirmait qu'elle avait payé des créateurs d'âge universitaire entre 2 000 et 3 000 dollars par mois pour publier des vidéos de paris simulés sur des versions fictives du site Web de Polymarket, sans qu'aucun des plus de 1 100 clips ne soit traçable à une activité réelle sur la blockchain.
Il y a également eu une autre controverse au début de ce mois lorsque un trader a affirmé avoir perdu 500 000 dollars après que le service de prédiction aurait prétendument changé les règles de résolution pour un marché lié à la vente de Bitcoin de Strategy.
Source : CryptoPotato
