Nền tảng thị trường dự đoán Polymarket cho biết sẽ hoàn trả đầy đủ cho người dùng bị ảnh hưởng sau khi một nhà cung cấp bên thứ ba bị xâm phạm tiêm mã độc vào giao diện người dùng (frontend) của họ. Điều này đã khiến một số người dùng tiếp xúc với cuộc tấn công lừa đảo mà các nhà nghiên cứu bảo mật blockchain ước tính đã rút cạn gần 3 triệu đô la.
Trong một tuyên bố được công bố vào ngày 25 tháng 6, Polymarket cho biết họ đã phát hiện ra nhà cung cấp bị xâm phạm vào sớm hơn trong ngày, đã loại bỏ phần phụ thuộc (dependency) bị ảnh hưởng và đã khống chế sự cố. Công ty bổ sung rằng họ đang liên hệ với người dùng bị ảnh hưởng và sẽ hoàn trả đầy đủ cho họ.
Sự cố dường như chỉ ảnh hưởng đến những người dùng tương tác với giao diện người dùng bị xâm phạm trong khoảng thời gian tấn công, chứ không phải các hợp đồng thông minh nền tảng cơ bản.
Sự xâm phạm của bên thứ ba đã tiêm vào một tập lệnh độc hại
Theo Polymarket, cuộc tấn công bắt nguồn từ một nhà cung cấp bên thứ ba bị xâm phạm đã tiêm một tập lệnh độc hại vào một phần giao diện người dùng của nền tảng.
Công ty cho biết kể từ đó họ đã loại bỏ phần phụ thuộc bị ảnh hưởng và khống chế sự cố. Tuy nhiên, họ chưa tiết lộ danh tính của nhà cung cấp bị xâm phạm hoặc công bố một báo cáo kỹ thuật chi tiết sau sự cố (postmortem).
Nền tảng nhấn mạnh rằng họ đang làm việc trực tiếp với người dùng bị ảnh hưởng trong khi tiếp tục điều tra.
Các công ty bảo mật ước tính thiệt hại gần 3 triệu đô la
Công ty bảo mật blockchain PeckShield báo cáo rằng sự cố này dường như là một chiến dịch lừa đảo nhắm vào người dùng Polymarket.
Theo phát hiện của họ, những kẻ tấn công đã rút cạn khoảng 3 triệu đô la trị giá PUSD từ hơn 11 ví nạn nhân trước khi chuyển cầu (bridge) số tiền bị đánh cắp từ Polygon sang Ethereum.
Các nhà nghiên cứu cho biết kẻ tấn công sau đó đã đổi số tiền thu được lấy khoảng 1,893 ETH, hợp nhất tài sản vào một địa chỉ Ethereum đang được theo dõi.
Polymarket chưa công khai xác nhận số thiệt hại ước tính hoặc số lượng ví bị ảnh hưởng.
Nền tảng hứa hoàn trả đầy đủ
Không giống như nhiều vụ lừa đảo khiến người dùng tự chịu trách nhiệm về thiệt hại, Polymarket cho biết họ dự định hoàn trả cho tất cả những người bị ảnh hưởng bởi cuộc tấn công.
Công ty cho biết họ đang liên hệ trực tiếp với người dùng bị ảnh hưởng trong khi tiếp tục điều tra vụ xâm phạm.
Chưa có thời hạn nào được đưa ra cho quá trình hoàn trả hoặc việc công bố báo cáo sự cố đầy đủ.
Tóm tắt cuối cùng
- Polymarket cho biết một nhà cung cấp bên thứ ba bị xâm phạm đã tiêm mã độc vào giao diện người dùng của họ và đã cam kết hoàn trả cho người dùng bị ảnh hưởng.
- Các nhà nghiên cứu bảo mật ước tính chiến dịch lừa đảo đã đánh cắp khoảng 3 triệu đô la trước khi số tiền được chuyển cầu sang Ethereum và chuyển đổi thành ETH.
