درجة ثقة المجتمعموثّق
تعرضت Polymarket لهجوم. حيث أتاح هجوم تصيد مشتبه به على أحد البائعين الخارجيين للمنصة للمخترقين إدخال برمجيات خبيثة مباشرة في واجهة سوق التوقعات، مما أدى إلى سرقة ما يقرب من 3 ملايين دولار من المستخدمين الذين كانوا يحتفظون بالعملة المستقرة الخاصة بالمنصة، PUSD.
تم الكشف عن الخرق من خلال إعلان على Polymarket Traders X. وفقًا للمنشور، تم إزالة الاعتماد المخترق منذ ذلك الحين وتقول المنصة إنها ستعيد كل الأموال للمستخدمين المتضررين بالكامل. تعرضت 11 محفظة للضرر. تم تحويل PUSD المسروق بسرعة إلى إيثريوم ونقل إلى عنوان واحد — 0xe65b1C586757c5510B60F998Eebb14C1eF71E1eD — وفقًا لمحلل أمان العملات الرقمية Specter، الذي تتبع حركة الأموال في الوقت الفعلي. هذا النوع من التحويل السريع يعتبر تقليديًا لهذا النوع من الهجمات: تحويل الأصول المسروقة بسرعة، وتوحيدها في عنوان واحد، وجعل التتبع أكثر صعوبة.
أحد عشر محفظة. حوالي 3 ملايين دولار اختفت.
بائع خارجي تسبب في الضرر
لم يكن مسار الهجوم هنا عبر العقود الأساسية لـPolymarket أو بنيتها التحتية الخلفية. كان من خلال بائع خارجي — اعتماد طرف ثالث مدمج في الواجهة الأمامية. استهدف المخترقون هذا الشريك الخارجي، وحصلوا على موطئ قدم، ومن هناك دفعوا بهدوء برمجيات خبيثة إلى ما يراه المستخدمون ويتفاعلون معه عند فتح الموقع. لم يكن لدى المستخدمين الذين يحتفظون بـPUSD في المحافظ المتصلة أي سبب واضح للشك في وجود خطأ ما. قامت البرمجيات بعملها قبل أن يعرف معظم الناس أن الخرق كان يحدث.
أشارت تحليلات Specter إلى أن تكتيكات التصيد كانت الطريقة المحتملة المستخدمة لاختراق البائع في المقام الأول. بمجرد الدخول، تحرك المهاجمون بسرعة وتنسيق. لم تبق الأموال المسروقة في أي مكان لفترة طويلة — تم التحويل إلى ETH بسرعة، وكان التوحيد في ذلك العنوان الواحد نظيفًا. يشير ذلك إلى مجموعة كانت تعرف بالضبط ما تفعله وكان لديها خطة جاهزة قبل تحميل أول برمجية.
قالت Polymarket إنها تواصلت للتعليق ولكن لا تزال التفاصيل الإضافية من الشركة معلقة. لم تصدر أي إفصاحات إضافية حتى الآن.
ثاني اختراق كبير في أشهر متتالية
ما يجعل هذا الأمر أسوأ هو التوقيت. في الشهر الماضي — ليس قبل ستة أشهر، وليس قبل عام — تعاملت Polymarket مع حادث أمني منفصل. ذلك الحادث تضمن مفتاح خاص قديم مخترق وكلف المنصة 700,000 دولار. كانت الشركة واضحة بأن خرق المفتاح الخاص لم يمس عقودها أو بنيتها التحتية الأساسية، لكن هذا لا يعد عزاءً كبيرًا عندما تنظر الآن إلى حادثة ثانية في غضون شهرين، وهذه المرة تقريبًا أربعة أضعاف الحجم.
اختراقان متتاليان. هذا فترة صعبة لأي منصة.
شهدت مساحة العملات الرقمية بشكل عام تزايدًا في هجمات سلسلة التوريد الخارجية التي أصبحت أكثر شيوعًا وأكثر ضررًا. البرمجيات الخبيثة التي يتم حقنها عبر الاعتمادات الخارجية يصعب اكتشافها قبل أن تسبب الضرر — غالبًا ما تبدو البرمجيات شرعية، تصل عبر قناة موثوقة، وتجلس داخل نظام شخص آخر لا تتحكم فيه المنصة الرئيسية بشكل مباشر. إنها نقطة ضعف معروفة، وقد أصبح المهاجمون بارعين في استغلالها.
ليست Polymarket المنصة الوحيدة التي واجهت هذا النوع من التعرض. في جميع أنحاء الصناعة، وجدت المشاريع التي تعتمد على مكتبات JavaScript الخارجية أو مقدمي الويدجت أو أدوات التحليل نفسها عرضة لهذا النوع من الهجمات غير المباشرة. غالبًا ما يتم التعامل مع الواجهة الأمامية على أنها أقل خطورة من العقود الذكية أو إدارة المفاتيح الخاصة، لكن الحوادث مثل هذه تستمر في إثبات خطأ هذا الافتراض.
التزام Polymarket بإعادة الأموال مهم. بالنسبة للمستخدمين الأحد عشر المتضررين، فإن استعادة أموالهم هي الأولوية الفورية، وتحرك المنصة بسرعة في هذا الأمر ربما يخفف من بعض الأضرار التي لحقت بالسمعة. لكن الوعود بإعادة الأموال لا تعيد بناء الثقة تلقائيًا في الوضع الأمني نفسه، خاصة مع وجود حادثة ثانية في السجلات في وقت قريب جدًا.
ما لم تفعله Polymarket بعد — على الأقل علنًا — هو توضيح التغييرات التي تجريها على كيفية تقييمها ومراقبتها للبائعين الخارجيين في المستقبل. هذا هو الجزء الذي ربما يكون مجتمع العملات الرقمية أكثر اهتمامًا به الآن. إزالة الاعتماد المخترق هو خطوة تفاعلية. ما هي الخطوة الاستباقية؟
غير واضح. لا توجد تفاصيل حول ذلك حتى الآن.
التحقيق مستمر. لا يزال Specter وغيره من المحللين على السلسلة يتتبعون المحفظة في 0xe65b1C586757c5510B60F998Eebb14C1eF71E1eD. لم يتحرك ETH المسروق إلى أي بورصة معروفة حتى آخر التقارير، مما يعني أن الأموال ربما لا تزال جالسة هناك — أو تتحرك عبر الخلاطات. في كلتا الحالتين، يبدو أن الاسترداد غير محتمل بدون إجراء أوسع من قبل سلطات إنفاذ القانون.
أحد عشر محفظة. 3 ملايين دولار. والمنصة لا تزال تنتظر المزيد من التعليقات للمشاركة.
الأسئلة الشائعة
كم تم سرقته في اختراق واجهة Polymarket؟
سرق المخترقون ما يقرب من 3 ملايين دولار من PUSD من 11 محفظة، حيث تم تحويل الأموال إلى إيثريوم ونقلها إلى العنوان 0xe65b1C586757c5510B60F998Eebb14C1eF71E1eD، وفقًا لمحلل أمان العملات الرقمية Specter.
هل ستعيد Polymarket الأموال للمستخدمين المتضررين من الاختراق؟
نعم — أعلنت Polymarket أنها ستعيد كل الأموال للمستخدمين المتضررين بالكامل بعد إزالة الاعتماد الخارجي المخترق من واجهتها الأمامية.
