Polymarket: Manipuliertes DebugBear-Skript verschiebt 2,7 Millionen US-Dollar
Ein manipuliertes Skript des Webseiten-Analyseanbieters DebugBear hat am 29. Oktober bei Polymarket die offenen Sitzungen angemeldeter Nutzer missbraucht und Vermögenswerte an Angreifer übertragen. Polymarket beziffert die betroffenen Erstattungen auf etwa 2,7 Millionen US-Dollar für 726 Wallets; insgesamt will die Plattform 3,9 Millionen US-Dollar an Händler zurückzahlen.
Der Angriff erfolgte über ein extern geladenes Page-Speed-Skript. Nach Angaben von DebugBear wurden dessen DNS-Einträge über den Domain-Registrar kompromittiert. Die manipulierte Datei betraf die für Polymarket ausgelieferte Kopie des Skripts; Hinweise auf einen Einbruch in die eigenen Systeme von DebugBear lagen zunächst nicht vor.
Missbrauch bestehender Sitzungen
Der Schadcode las Kontodaten aus dem Browser, darunter Trading-API-Schlüssel, und suchte auf der bereits geöffneten Polymarket-Seite nach der Order-Funktion und dem Transaktionssignierer. Bei Wallet-Anmeldungen wurden Positionen direkt an die Wallet der Angreifer verschoben. Bei Anmeldungen per E-Mail wurden Positionen zu zunehmend schlechteren Preisen verkauft und die Erlöse anschließend abgezogen.
Die API-Schlüssel allein konnten laut der Untersuchung keine Orders ausführen, weil zusätzlich eine Wallet-Signatur erforderlich war. Hudson Rock fand außerdem keinen Code, der Passwörter, Seed-Phrasen oder private Schlüssel an den Server der Angreifer übermittelte. Eine Signaturanfrage beweist daher nicht automatisch, dass ein Nutzer ohne weitere Prüfung signiert hat: Der Wallet-Anbieter konnte die Anfrage anzeigen, ablehnen oder eigene Sitzungsregeln anwenden.
Die Blockchain-Analyse ordnet dem Angreifer-Wallet innerhalb des beobachteten Zeitraums 28,6 Millionen POL-Token und Positionen aus 33 Wallets zu. Polymarket schaltete den Handel zunächst in einen Modus zum ausschließlichen Stornieren, pausierte Relayer-Aktionen, entfernte das Skript und setzte aktive Anmeldesitzungen zurück. Bis zum 30. Oktober waren 689 der 726 betroffenen Wallets vollständig erstattet; die übrigen Erstattungen wurden nach Prüfung bearbeitet.
Maßnahmen für Betreiber und Nutzer
- Betreiber sollten nicht benötigte Drittanbieter-Skripte von Seiten entfernen, auf denen Nutzer handeln oder sich anmelden.
- Für unveränderte Dateien sollte, sofern möglich, Subresource Integrity eingesetzt werden, damit der Browser manipulierte Inhalte ablehnt.
- Zusätzliche Kontrollen wie eine strengere Content Security Policy, festgelegte Skriptversionen und Sandboxing sollen externe Skripte begrenzen.
- Nutzer sollten unerwartete Signaturanfragen ablehnen.
- DebugBear hat Kunden seines RUM-Produkts aufgefordert, den Embed-Code von ihren Websites zu entfernen.