La plateforme de marché de prédiction Polymarket affirme qu'elle remboursera intégralement les utilisateurs affectés après qu'un vendeur tiers compromis ait injecté un code malveillant dans son interface frontale. Cela a exposé certains utilisateurs à une attaque de phishing qui, selon les estimations des chercheurs en sécurité blockchain, a drainé près de 3 millions de dollars.
Dans une déclaration publiée le 25 juin, Polymarket a indiqué avoir découvert le vendeur tiers compromis plus tôt dans la journée, avoir supprimé la dépendance affectée et avoir circonscrit l'incident. La société a ajouté qu'elle contactait les utilisateurs impactés et les rembourserait intégralement.
L'incident semble n'avoir affecté que les utilisateurs ayant interagi avec l'interface frontale compromise pendant la fenêtre d'attaque, et non les contrats intelligents sous-jacents de la plateforme.
Une compromission tierce a injecté un script malveillant
Selon Polymarket, l'attaque est originaire d'un vendeur tiers compromis qui a injecté un script malveillant dans certaines parties de l'interface frontale de la plateforme.
La société a déclaré avoir depuis supprimé la dépendance affectée et avoir circonscrit l'incident. Cependant, elle n'a pas divulgué l'identité du vendeur compromis ni publié de post-mortem technique détaillé.
La plateforme a souligné qu'elle travaillait directement avec les utilisateurs affectés tout en poursuivant son enquête.
Les sociétés de sécurité estiment les pertes à près de 3 millions de dollars
La firme de sécurité blockchain PeckShield a rapporté que l'incident semblait être une campagne de phishing ciblant les utilisateurs de Polymarket.
Selon leurs conclusions, les attaquants ont drainé environ 3 millions de dollars en PUSD de plus de 11 portefeuilles victimes avant de transférer (bridging) les fonds volés de Polygon vers Ethereum.
Les chercheurs ont déclaré que l'attaquant a ensuite échangé le produit de l'attaque pour environ 1 893 ETH, consolidant les actifs dans une adresse Ethereum surveillée.
Polymarket n'a pas confirmé publiquement le montant estimé des pertes ni le nombre de portefeuilles affectés.
La plateforme promet un remboursement intégral
Contrairement à de nombreux incidents de phishing qui laissent les utilisateurs responsables des pertes, Polymarket a déclaré qu'elle avait l'intention de rembourser toutes les personnes affectées par l'attaque.
La société a déclaré qu'elle contactait directement les utilisateurs impactés tout en poursuivant l'enquête sur la compromission.
Aucun calendrier n'a été fourni ni pour le processus de remboursement, ni pour la publication d'un rapport d'incident complet.
Résumé final
- Polymarket déclare qu'un vendeur tiers compromis a injecté un code malveillant dans son interface frontale et s'est engagé à rembourser les utilisateurs affectés.
- Les chercheurs en sécurité estiment que la campagne de phishing a volé environ 3 millions de dollars avant que les fonds ne soient transférés vers Ethereum et convertis en ETH.
