کدهای مخرب تزریق شده به وب‌سایت پلتفرم پیش‌بینی Polymarket، منجر به فروش موقعیت‌های معاملاتی کاربران و انتقال دارایی‌های آن‌ها به کیف پول مهاجمان شد. این حمله از طریق جایگزینی یک اسکریپت مربوط به سرعت صفحه (Page-speed script) که از یک شرکت خارجی بارگذاری می‌شد، انجام شده است.
جزئیات حمله و زنجیره تأمین
تحقیقات نشان می‌دهد که اسکریپت مورد نظر متعلق به سرویس DebugBear بوده است. مهاجمان با هدف قرار دادن رکوردهای DNS این شرکت از طریق ثبت‌کننده دامنه (Domain Registrar)، توانستند اسکریپت اصلی را با یک فایل مخرب جایگزین کنند. این نوع حمله که در دسته حملات زنجیره تأمین (Supply Chain Attack) قرار می‌گیرد، به مهاجم اجازه داد تا مستقیماً پلتفرم هدف را تحت تأثیر قرار دهد.
مکانیزم فنی سرقت
برخلاف حملات رایج که سعی در سرقت کلیدهای خصوصی (Private Keys) یا عبارت‌های بازیابی (Seed Phrases) دارند، این کد مخرب از یک روش هوشمندانه‌تر استفاده کرد. کد مذکور، نشست‌های فعال (Active Sessions) کاربران را شناسایی کرده و از قابلیت امضای تراکنش (Signer) موجود در مرورگر برای تأیید دستورات فروش و انتقال دارایی استفاده کرد.
- برای حساب‌های متصل به کیف پول‌های کریپتویی، موقعیت‌های معاملاتی مستقیماً به کیف پول مهاجمان منتقل شد.
- برای حساب‌های متصل از طریق ایمیل، موقعیت‌ها با قیمت‌های نامناسب فروخته شده و سپس دارایی‌ها خارج شدند.
در این حمله، حدود ۲.۶۴ میلیون دلار ارز دیجیتال در کمتر از یک ساعت از ۳۳ کیف پول مختلف سرقت شد.
اقدامات اصلاحی و توصیه‌ها
پلتفرم Polymarket بلافاصله با متوقف کردن فعالیت‌های Relayer و پاکسازی کش (Cache)، اقدامات خود را آغاز کرد و در نهایت متعهد شد که مبالغ سرقتی و خسارات ناشی از توقف معاملات را به کاربران بازگرداند. این شرکت همچنین در حال تقویت امنیت خود از طریق پیاده‌سازی سیاست‌های امنیتی سخت‌گیرانه‌تر مانند Content Security Policy (CSP) قوی‌تر، استفاده از نسخه‌های ثابت (Pinned versions) و محیط‌های ایزوله (Sandboxing) است.
توصیه امنیتی: سازمان‌هایی که از اسکریپت‌های شخص ثالث (Third-party scripts) استفاده می‌کنند، باید از مکانیزم‌های کنترل دسترسی و محدودسازی اجرای کد استفاده کنند. همچنین کاربران باید نسبت به هرگونه درخواست امضای تراکنش (Signing request) غیرمنتظره در کیف پول خود بسیار هوشیار باشند.
