Polymarket'ta üçüncü taraf izleme betiği üzerinden kullanıcıların varlıkları çalındı, Polymarket 3,9 milyon dolar iade ediyor

Tahmin piyasası Polymarket, 29 Ekim’de Türkiye saatiyle 21.33’te yaptığı açıklamada, uluslararası platformu Polymarket.com’u etkileyen bir sorunu tespit edip düzelttiğini, üçüncü taraf hizmet sağlayıcılarından birinin ele geçirildiğini ve olayı kolluk kuvvetlerine bildirdiğini duyurdu. Polymarket önlem olarak işlemleri durdurdu ve aynı akşam 22.00’de işlemlerin tamamen yeniden açıldığını ve etkilenen bütün kullanıcıların zararını karşılayacağını açıkladı. Polymarket hizmet sağlayıcısının adını vermedi. Site performansını ölçen hizmetler sunan DebugBear ise 21.00’de, devam eden bir güvenlik olayından etkilendiğini açıkladı ve gerçek kullanıcı izleme (RUM) ürününü kullananlardan bu ürünün kodunu sitelerinden kaldırmalarını istedi.

Zararlı betik

Hudson Rock, aynı akşam yayımladığı incelemede, bir topluluk uyarısında adı geçen ve DebugBear’ın adresinden sunulan cdn.debugbear[.]com/C7xcKKrjUnXK.js dosyasını indirip incelediğini açıkladı. Hudson Rock’a göre performans ölçmesi gereken bu betik, oturum açmış kullanıcının Polymarket’taki alım satım aracını buluyor, portföyünü inceliyor ve varlıklarını satmaya ya da aktarmaya çalışıyor. Betik tarayıcıda saklanan kimlik doğrulama bilgilerini okuyor, sayfada çalışan uygulamanın içinde kullanıcının açık alım satım aracını ve imza aracını arıyor ve hesap türüne göre ya pozisyon tokenlerini doğrudan saldırganın adresine aktarıyor ya da pozisyonları satıp elde edilen parayı aktarmaya çalışıyor.

Hudson Rock’a göre betik kimlik bilgileriyle ilgili verileri okuyor, ancak şirketin incelemesinde parolayı, kurtarma ifadesini ya da özel anahtarı gönderen bir bölüm bulunmadı. Şirkete göre betiğin asıl yöntemi, kullanıcının oturum açmış uygulamada zaten sahip olduğu yetkileri kullanmak. Hudson Rock ayrıca Polymarket’ın yayımlanmış uygulama kodunda, DebugBear betiğinin kaldırıldığını belirten ve 29 Ekim 17.59 UTC (Türkiye saatiyle 20.59) zaman damgası taşıyan bir derleme kaydı buldu. Şirket, betiğin ilk ne zaman zararlı hâle geldiğini, kaç kullanıcının etkilendiğini ve DebugBear’ın nasıl ele geçirildiğini belirleyemediğini, başka DebugBear müşterilerinin hedef alındığına dair bir bulgusu olmadığını belirtiyor.

Kayıp ve iadeler

Hudson Rock’un incelediği bir ekran görüntüsüne göre betikte yedek alıcı olarak yazılı adreste yaklaşık 2,19 milyon dolarlık varlık vardı, ancak şirket bunun doğrulanmış bir kayıp toplamı olmadığını vurguluyor. Blokzincir güvenlik şirketi GoPlus ise zincir üzerindeki analizine dayanarak kaybı yaklaşık 2,71 milyon dolar olarak hesapladı. GoPlus’a göre saldırının ana yolunda 710 Polymarket yatırım cüzdanı ve 731 adres yer aldı, ancak adres sayısı etkilenen kullanıcı sayısını göstermiyor. SecurityWeek’e göre Polymarket’ın ABD platformunun etkilenmediği bildiriliyor.

Polymarket 30 Ekim’de Türkiye saatiyle 17.37’de yaptığı açıklamada, etkilenen 726 cüzdandan 689’una paranın tamamının iade edildiğini, kalan 37 cüzdana ödemenin her biri doğrulandıkça yapılacağını açıkladı. Şirket ayrıca işlemlerin durduğu sırada zarar eden ya da pozisyonları elinden alınan kullanıcılara, 5.500 cüzdana toplam 1,19 milyon dolar ödemeye başladığını, böylece toplam 3,9 milyon dolar iade edeceğini ve bunun için başvuru gerekmediğini belirtti. Polymarket’a göre saldırı, bir saat içinde kaldırılan ele geçirilmiş bir üçüncü taraf hizmet sağlayıcısı üzerinden yapıldı. Şirket olayı kolluk kuvvetleriyle birlikte incelediğini ve teknik bir inceleme raporu yayımlayacağını açıkladı.

Önerilen önlemler

GoPlus, olay sırasında Polymarket.com’u kullananların eski sekmeleri kapatmasını, siteye güvenilir bir cihazdan ve resmi kanallardan yeniden girmesini, bütün varlıklarını kontrol etmesini ve işlem kayıtlarını saklamasını öneriyor. Şirket ayrıca artık gerekmeyen oturum anahtarlarının ve zincir üstü onayların iptal edilmesini öneriyor, ancak bunun daha önce aktarılmış varlıkları geri getirmediğini hatırlatıyor. Hudson Rock beklenmedik imza ve onay isteklerinin reddedilmesini öneriyor. GoPlus, iade desteği gibi görünen dolandırıcılara karşı da uyarıyor ve kimseye parola, doğrulama kodu, özel anahtar ya da kurtarma ifadesi verilmemesini istiyor.