Hackers roubam US$ 2,7 milhões da Polymarket

A plataforma de mercados de previsão Polymarket sofreu um ataque cibernético em 29 de outubro, quando hackers utilizaram um script malicioso de terceiros para manipular operações de usuários autenticados e transferir recursos para carteiras controladas pelos invasores. O incidente resultou em perdas de aproximadamente US$ 2,7 milhões e afetou 726 carteiras digitais.

A investigação identificou que o ataque envolveu o comprometimento de um script da DebugBear, empresa que fornece ferramentas de monitoramento de desempenho de sites. O código legítimo, utilizado para medir a velocidade de carregamento das páginas, foi substituído por uma versão maliciosa distribuída por meio da infraestrutura associada ao serviço.

Segundo a Polymarket, aproximadamente US$ 2,7 milhões serão reembolsados aos usuários afetados. Registros da blockchain mostram que uma carteira controlada pelos hackers recebeu cerca de US$ 2,64 milhões em criptomoedas em menos de uma hora.

Comprometimento do script da DebugBear

Pesquisadores da Hudson Rock identificaram e baixaram o arquivo malicioso em 29 de outubro, utilizando o mesmo endereço empregado pela Polymarket para carregar o script da DebugBear. A investigação também encontrou uma alteração no código do site que removia a referência ao componente comprometido.

A DebugBear informou que seus registros DNS foram comprometidos por meio do registrador de domínio. As análises preliminares indicam que a operação teve como alvo o site de um único cliente, sem evidências de invasão dos sistemas internos da empresa até aquele momento.

Pesquisadores da Ohey identificaram que, às 18h13 UTC, um servidor diferente respondia pelos endereços da DebugBear, enquanto o arquivo malicioso permanecia disponível. Anteriormente, o script legítimo era distribuído pelo Google Cloud Storage.

Cada cliente da DebugBear utiliza sua própria cópia do script de monitoramento, e o arquivo substituído correspondia especificamente à implementação da Polymarket.

Como os hackers conseguiram movimentar os fundos

A análise estática realizada pela Hudson Rock identificou que o código malicioso aproveitava as permissões de usuários que já estavam autenticados na plataforma.

O script acessava informações armazenadas no navegador, incluindo chaves de API utilizadas para operações de negociação. Entretanto, essas chaves não eram suficientes para executar transações isoladamente, pois a Polymarket também exige assinaturas criptográficas das carteiras.

Os pesquisadores não identificaram mecanismos de envio de senhas, frases de recuperação, chaves privadas ou chaves de API para servidores externos.

Em vez disso, o malware procurava os componentes responsáveis pela execução de ordens e pelo processo de assinatura de transações dentro da própria aplicação.

O ataque seguia dois caminhos, dependendo do método de autenticação:

• Usuários conectados por carteiras de criptomoedas: o código tentava transferir diretamente as posições de negociação para a carteira dos hackers.

• Usuários autenticados por e-mail: o script vendia posições por preços progressivamente desfavoráveis e, posteriormente, transferia os recursos obtidos.

Nos dois casos, o código utilizava o mecanismo de assinatura associado à própria conta e encaminhava as solicitações ao relayer da Polymarket, serviço responsável por submeter as transações à rede.

A Hudson Rock ressalta que a existência dessas solicitações não comprova que todas as transações ocorreram sem interação dos usuários. Dependendo da carteira utilizada, poderiam existir solicitações adicionais de autorização, bloqueios ou políticas específicas de segurança.

Carteira dos invasores recebeu milhões em menos de uma hora

O rastreamento realizado pela Ohey identificou que a carteira incluída no código malicioso começou a receber recursos às 17h10 UTC e registrou a última entrada às 18h02 UTC.

Nesse intervalo, foram recebidos 28,6 milhões de tokens POL, além de posições de negociação provenientes de 33 carteiras.

Às 18h19 UTC, os tokens estavam avaliados em aproximadamente US$ 2,64 milhões, considerando a cotação de US$ 0,0922 registrada pela DefiLlama e o cálculo realizado pela DefiPrime. O valor não inclui as posições de negociação transferidas.

Entre 18h28 e 18h38 UTC, os invasores movimentaram todos os 28,6 milhões de tokens POL para três outros endereços.

Polymarket suspende operações e anuncia US$ 3,9 milhões em reembolsos

A Polymarket publicou seu primeiro comunicado sobre atividades não autorizadas em carteiras de usuários às 17h38 UTC.

Às 18h05 UTC, a empresa informou que havia colocado a plataforma em modo cancel-only, permitindo apenas o cancelamento de ordens, enquanto suspendia as operações realizadas pelo relayer.

Segundo a companhia, o script comprometido foi removido em menos de uma hora. A resposta também incluiu limpeza de caches, encerramento de todas as sessões autenticadas e suspensão temporária das negociações até a verificação da segurança do ambiente.

O incidente foi encaminhado às autoridades policiais.

Até 30 de outubro, 689 das 726 carteiras afetadas haviam recebido reembolso integral. Os pagamentos às outras 37 estavam sendo processados conforme a conclusão das verificações.

Além dos US$ 2,7 milhões destinados às vítimas diretas, a Polymarket anunciou outros US$ 1,19 milhão para aproximadamente 5.500 carteiras prejudicadas pela suspensão das negociações ou pela retirada de posições.

No total, a plataforma informou que devolverá US$ 3,9 milhões aos usuários.

Os clientes não precisam apresentar solicitações para receber os pagamentos. Entretanto, a página de status da Polymarket disponibiliza um formulário para contestar valores ou comunicar a ausência de reembolso.

Medidas de segurança após o ataque

A DebugBear orientou os clientes de seu serviço de monitoramento RUM a removerem temporariamente o código incorporado aos seus sites. Em uma verificação realizada pelo The Hacker News em 1º de novembro, o domínio cdn.debugbear.com, utilizado para distribuir o arquivo malicioso, não apresentava registros DNS.

A Polymarket informou que está reforçando os controles aplicados a scripts de terceiros, incluindo políticas mais restritivas de Content Security Policy (CSP), fixação de versões e isolamento de componentes por meio de sandboxing.

A Hudson Rock também recomenda reduzir a presença de códigos externos em páginas que executam operações financeiras ou solicitam assinaturas criptográficas.

Entre as medidas indicadas está o uso de Subresource Integrity (SRI), mecanismo que permite ao navegador verificar a integridade de arquivos externos e rejeitar versões cujos conteúdos tenham sido alterados.

Os pesquisadores destacam que permitir scripts provenientes de uma CDN considerada confiável, por meio de uma política CSP, não garante que os arquivos distribuídos por ela permaneçam íntegros.

Para usuários de plataformas de criptomoedas, a principal recomendação é rejeitar solicitações inesperadas de assinatura de transações.