Sự cố bảo mật mới nhất của Polymarket đã trở nên nghiêm trọng hơn sau khi công ty tình báo blockchain AMLBot cập nhật ước tính thiệt hại lên khoảng 3,1 triệu USD.
Nền tảng thị trường dự đoán này trước đó đã hứa sẽ hoàn tiền cho những người dùng bị ảnh hưởng sau khi một nhà cung cấp bên thứ ba bị xâm nhập đã cho phép mã độc tiếp cận một số người dùng thông qua giao diện người dùng của nó.
AMLBot cho biết tin tặc đã đánh cắp khoảng 3,1 triệu USD PUSD từ 11 ví người dùng. Công ty cho biết số tiền này được lấy từ Polygon và nhanh chóng được bắc cầu (bridged) sang Ethereum.
Bản cập nhật này đã nâng con số thiệt hại từ ước tính trước đó gần 2,94 triệu USD. Specter Analyst lần đầu tiên gắn cờ vụ tấn công này là một chiến dịch lừa đảo (phishing campaign) đã rút tiền từ ít nhất 11 ví giữ PUSD.
Polymarket cho biết trong một bài đăng ngày 25 tháng 6 rằng họ đã phát hiện ra một nhà cung cấp bên thứ ba đã bị xâm phạm. Công ty nói rằng vấn đề của nhà cung cấp đã cho phép những kẻ tấn công chèn một script độc hại vào giao diện người dùng của nền tảng cho một số người dùng.
“Chúng tôi đã kiểm soát và loại bỏ phần phụ thuộc bị ảnh hưởng.” Nền tảng này cũng cho biết họ đang liên hệ với những người dùng bị ảnh hưởng và “hoàn tiền đầy đủ cho họ.”
Cuộc tấn công dường như đã nhắm vào người dùng thông qua giao diện trang web chứ không phải giao thức cốt lõi. Loại tấn công này có thể lừa người dùng chấp thuận hoạt động ví độc hại trong khi họ tin rằng mình đang sử dụng nền tảng bình thường.
PeckShield cho biết kẻ tấn công đã bắc cầu số tiền bị đánh cắp từ Polygon sang Ethereum và hoán đổi chúng thành khoảng 1.893 ETH. Specter cũng cho biết số tiền đã được hợp nhất vào một địa chỉ Ethereum sau hoạt động lừa đảo.
Một cuộc tấn công giao diện người dùng có thể khó bị người dùng phát hiện trong thời gian thực. Trang web có thể trông bình thường, nhưng mã được tải trong trình duyệt có thể tạo ra các lời nhắc ví không an toàn.
Sự cố này cũng làm tăng sự tập trung vào các phụ thuộc bên thứ ba. Ngay cả khi các hợp đồng thông minh của một nền tảng không thay đổi, mã bên ngoài được sử dụng trong một trang web có thể tạo ra rủi ro cho những người dùng kết nối ví.
Sự cố mới nhất này tiếp nối các vấn đề bảo mật khác của Polymarket. Vào tháng 3, nhà điều tra blockchain ZachXBT đã gắn cờ một vụ vi phạm bị nghi ngờ sau khi hơn 520.000 USD được cho là đã bị rút từ hai hợp đồng thông minh Polygon.
Polymarket sau đó cho biết số tiền vẫn an toàn trong trường hợp đó. Vào tháng 12, nền tảng này cũng đã xác nhận một sự cố trên kênh Discord của mình sau khi người dùng báo cáo mất tiền và các nỗ lực đăng nhập đáng ngờ.
Một báo cáo trước đó cho biết vụ tấn công mới nhất đã được DefiLlama ghi nhận là vụ vi phạm bảo mật tiền điện tử thứ 89 trong quý hai. Cùng báo cáo đó cho biết con số này đã khiến quý đó trở thành quý cao nhất kỷ lục về số lượng sự cố được báo cáo.
Số lượng sự cố ngày càng tăng cho thấy tại sao các nền tảng hiện phải đối mặt với sự kiểm tra chặt chẽ hơn trên các hợp đồng thông minh, ví, hệ thống đăng nhập, mã giao diện người dùng và các nhà cung cấp bên ngoài.
Vụ tấn công cũng xảy ra khi Polymarket phải đối mặt với sự chú ý mới từ cơ quan quản lý. Một báo cáo gần đây cho biết các Thượng nghị sĩ Hoa Kỳ Adam Schiff và John Curtis đã thúc giục CFTC xem xét các cáo buộc liên quan đến hành vi quảng cáo lừa đảo.
Các thượng nghị sĩ đã hỏi liệu Polymarket có quảng bá thị trường thông qua các trang web giao dịch mô phỏng, các giao dịch dàn dựng và các chiến dịch của người có ảnh hưởng được trả tiền không được tiết lộ hay không. Họ cũng đặt câu hỏi liệu CFTC có đủ công cụ để giám sát các thị trường dự đoán và bảo vệ người dùng hay không.
Polymarket và Kalshi cũng là một phần của cuộc chiến pháp lý rộng lớn hơn về các hợp đồng sự kiện thể thao. Kentucky đã cáo buộc các công ty thị trường dự đoán cung cấp dịch vụ cá cược thể thao không có giấy phép, trong khi CFTC đã lập luận rằng các hợp đồng sự kiện được liên bang quản lý thuộc thẩm quyền của họ.
Như đã báo cáo trước đây, các trường hợp này có thể giúp quyết định liệu các thị trường dự đoán liên quan đến thể thao chủ yếu tuân theo các quy định phái sinh liên bang hay luật cờ bạc của tiểu bang.
