Збитки Polymarket від злому зросли до 3,1 мільйона доларів, оскільки зобов’язання про відшкодування підлягають ретельній перевірці

Останній інцидент з безпекою Polymarket набув масштабів після того, як фірма, що спеціалізується на блокчейні, AMLBot оновила оцінку збитків приблизно до 3,1 мільйона доларів.

Платформа ринку прогнозів раніше пообіцяла відшкодувати постраждалим користувачам після того, як заявила, що компрометація стороннього постачальника дозволила шкідливому коду досягти деяких користувачів через її інтерфейс.

AMLBot заявив, що хакери вкрали близько 3,1 мільйона доларів у PUSD з 11 гаманців користувачів. Фірма заявила, що кошти були взяті з Polygon і швидко переведені в Ethereum.

Оновлення збільшує цифру збитків порівняно з попередніми оцінками майже на 2,94 мільйона доларів. Spectre Analyst спочатку позначив атаку як фішингову кампанію, яка витягла кошти щонайменше з 11 гаманців, що містять PUSD.

У публікації від 25 червня Polymarket повідомила, що виявила, що сторонній постачальник був скомпрометований. Компанія заявила, що проблема постачальника дозволила зловмисникам впровадити шкідливий сценарій у інтерфейс платформи для деяких користувачів.

«Ми впоралися з цим і видалили залежність». Платформа також повідомила, що зв’язується з постраждалими користувачами та «повністю повертає їм кошти».

Інтерфейсна атака спрямована на гаманці користувачів

Схоже, що атака спрямована на користувачів через інтерфейс веб-сайту, а не через основний протокол. Цей тип атаки може змусити користувачів схвалити шкідливу діяльність гаманця, хоча вони вважають, що використовують звичайну платформу.

PeckShield сказав, що зловмисник перекинув вкрадені кошти з Polygon на Ethereum і обміняв їх приблизно на 1893 ETH. Спектр також сказав, що кошти були консолідовані в адресу Ethereum після фішингової активності.

Користувачам може бути важко виявити в режимі реального часу зовнішню атаку. Сайт може виглядати нормально, але код, завантажений у браузер, може створювати небезпечні підказки гаманця.

Інцидент також акцентує увагу на залежності від третіх сторін. Навіть якщо смарт-контракти платформи залишаються незмінними, зовнішній код, який використовується на веб-сайті, може створити ризик для користувачів, які підключають гаманці.

Попередні події додають тиску

Останній інцидент стався після інших проблем безпеки Polymarket. У березні дослідник блокчейну ZachXBT помітив підозру про порушення після того, як, як повідомляється, з двох смарт-контрактів Polygon було виведено понад 520 000 доларів США.

Пізніше Polymarket заявив, що в цьому випадку кошти в безпеці. У грудні платформа також підтвердила інцидент на своєму каналі Discord після того, як користувачі повідомили про зникнення коштів і підозрілі спроби входу.

У попередньому звіті говорилося, що остання атака була зареєстрована DefiLlama як 89-й злом криптобезпеки за другий квартал. У тому ж звіті говориться, що підрахунок зробив квартал найвищим в історії за кількістю зареєстрованих інцидентів.

Зростаюча кількість інцидентів показує, чому платформи тепер стикаються з ретельнішими перевірками смарт-контрактів, гаманців, систем входу, інтерфейсного коду та зовнішніх постачальників.

Регуляторний контроль розширюється

Хак також з’являється, коли Polymarket стикається з новою регуляторною увагою. У нещодавньому звіті говориться, що сенатори США Адам Шифф і Джон Кертіс закликали CFTC переглянути звинувачення, пов’язані з оманливою рекламною практикою.

Сенатори запитали, чи Polymarket просуває ринки за допомогою імітованих торгових веб-сайтів, поетапних транзакцій і нерозкритих платних кампаній впливу. Вони також поставили під сумнів, чи має CFTC достатньо інструментів для нагляду за прогнозними ринками та захисту користувачів.

Polymarket і Kalshi також є частиною ширшої судової боротьби за контракти на спортивні заходи. Кентуккі звинуватив фірми, які займаються ринком прогнозів, у тому, що вони пропонують неліцензійні спортивні ставки, тоді як CFTC стверджує, що федерально регульовані контракти на події підпадають під його повноваження.

Як повідомлялося раніше, випадки можуть допомогти вирішити, чи відповідають ринки прогнозів, пов’язані зі спортом, головним чином федеральним правилам деривативів чи законам штату про азартні ігри.