पॉलीमार्केट ने पुष्टि की है कि हमलावरों ने एक तीसरे पक्ष के विक्रेता (थर्ड पार्टी वेंडर) के सिस्टम में सेंध लगाई और उस एक्सेस का उपयोग प्लेटफ़ॉर्म के फ्रंटएंड में दुर्भावनापूर्ण कोड डालने के लिए किया, जिससे एक फ़िशिंग हमला हुआ जिसने उपयोगकर्ताओं से अनुमानित $2.94 मिलियन निकाल लिए।

पॉलीमार्केट ने X पर खुलासा किया कि उसने प्रभावित डिपेंडेंसी को हटा दिया है, घटना को नियंत्रित कर लिया है, और प्रभावित उपयोगकर्ताओं को पूरी तरह से मुआवजा देगा। 

ब्लॉकचेन विश्लेषक स्पेक्टर ने अनुमान लगाया कि प्लेटफ़ॉर्म के फ्रंटएंड पर दुर्भावनापूर्ण स्क्रिप्ट दिखाई देने के बाद इस हमले ने कम से कम 11 वॉलेट से धन निकाल लिया।

फ्रंटएंड में सेंधमारी उपयोगकर्ता वॉलेट को निशाना बनाती है

स्पेक्टर ने इस हमले को प्रोटोकॉल एक्सप्लॉइट के बजाय एक फ़िशिंग अभियान के रूप में पहचाना। विश्लेषक ने कहा कि इंजेक्ट की गई स्क्रिप्ट ने हमलावरों को उपयोगकर्ताओं द्वारा समझौता किए गए इंटरफ़ेस के साथ बातचीत करने के बाद जुड़े हुए वॉलेट से धन चुराने में सक्षम बनाया।

डेफीलामा ने इस घटना को दूसरी तिमाही की 89वीं रिपोर्ट की गई क्रिप्टो सुरक्षा सेंधमारी के रूप में दर्ज किया, जिससे यह प्लेटफ़ॉर्म के रिकॉर्ड में घटना संख्या के हिसाब से सबसे अधिक तिमाही योग बन गया।

डेफीलामा ने जून के दौरान 29 क्रिप्टो एक्सप्लॉइट्स में कुल $74.9 मिलियन के नुकसान की भी सूचना दी। यह कुल मई के $60.5 मिलियन से अधिक था लेकिन अप्रैल के $644 मिलियन से काफी कम रहा।

प्लेटफ़ॉर्म ने $36 मिलियन के ह्यूमैनिटी प्रोटोकॉल एक्सप्लॉइट को जून के सबसे बड़े हमले के रूप में सूचीबद्ध किया। अन्य प्रमुख घटनाओं में सीक्रेट नेटवर्क ब्रिज से जुड़ा $4.7 मिलियन का एक्सप्लॉइट, एज़्टेक को प्रभावित करने वाले दो अलग-अलग $2.1 मिलियन के एक्सप्लॉइट, और ताइको पर $1.7 मिलियन का ब्रिज एक्सप्लॉइट शामिल था।

डेफीलामा ने बताया कि पिछले 30 दिनों में एक्सप्लॉइट से हुए नुकसान का 43% निजी कुंजी (प्राइवेट की) के समझौता होने के कारण हुआ। नकली प्रूफ एक्सप्लॉइट्स ने 10% नुकसान का प्रतिनिधित्व किया, जबकि रिवर्स एमईवी हनीपॉट्स ने 8% का प्रतिनिधित्व किया।

पिछला एक्सप्लॉइट समझौता की गई निजी कुंजी से जुड़ा

पॉलीमार्केट ने लगभग एक महीने पहले एक अलग सुरक्षा घटना का खुलासा किया था, जब हमलावरों ने आंतरिक टॉप-अप ऑपरेशंस के लिए उपयोग की जाने वाली छह साल पुरानी निजी कुंजी का फायदा उठाया और लगभग $600,000 चुरा लिए थे।

सुरक्षा शोधकर्ताओं, जिनमें ZachXBT, PeckShield, और Bubblemaps शामिल हैं, ने शुरुआत में पॉलीगॉन पर पॉलीमार्केट के UMA CTF एडाप्टर कॉन्ट्रैक्ट से संबंधित संदिग्ध गतिविधि को चिह्नित किया था। Bubblemaps ने बताया कि हमलावरों ने कुल नुकसान का अनुमान लगभग $600,000 लगाने से पहले हर 30 सेकंड में 5,000 POL निकाले।

पॉलीमार्केट प्रोटोकॉल के योगदानकर्ता शांतिकिरन चनाल ने बाद में उस घटना का श्रेय आंतरिक संचालन के लिए उपयोग किए जाने वाले एक समझौता किए गए वॉलेट को दिया, बजाय इसके कि यह प्लेटफ़ॉर्म के कॉन्ट्रैक्ट्स या मुख्य इन्फ्रास्ट्रक्चर में कोई भेद्यता (कमज़ोरी) हो। 

जोश स्टीवंस, कंपनी के इंजीनियरिंग के उपाध्यक्ष, ने उस समय कहा था कि उपयोगकर्ता निधि (यूजर फंड) और स्मार्ट कॉन्ट्रैक्ट सुरक्षित रहे और समझौता की गई कुंजी से जुड़ी सभी अनुमतियों को रद्द कर दिया गया था।