A plataforma de mercado de previsões Polymarket suspendeu temporariamente as negociações na quinta-feira, depois que hackers comprometeram um serviço terceirizado para distribuir um código JavaScript que roubava criptomoedas. Cerca de US$ 2,5 milhões em ativos foram rastreados até uma carteira atribuída a um possível invasor.
A empresa confirmou o incidente de segurança e informou que identificou e corrigiu o problema, que afetou sua plataforma internacional, Polymarket.com. O caso foi encaminhado às autoridades policiais.
“Um de nossos provedores terceirizados foi comprometido, e encaminhamos o caso às autoridades competentes”, afirmou a Polymarket.
“Quem foi afetado será integralmente ressarcido. Por precaução, suspendemos temporariamente as negociações e estamos trabalhando para colocar a plataforma novamente no ar.”
Às 14h05, no horário do leste dos Estados Unidos (ET), a Polymarket colocou sua plataforma em modo de somente cancelamento e interrompeu as operações do relayer enquanto investigava o incidente. Às 14h37, a empresa informou que o problema havia sido corrigido e que as negociações estavam temporariamente suspensas por precaução.
As negociações foram retomadas cerca de uma hora após a suspensão inicial. O incidente foi marcado como resolvido às 15h05, no horário do leste dos Estados Unidos.
“As negociações já estão totalmente restabelecidas”, anunciou a empresa no X. “Vamos corrigir os danos e reembolsar integralmente todos os operadores afetados.”
A Polymarket não informou quantos usuários foram afetados, quanto em criptomoedas foi roubado nem como será feito o processo de reembolso.
Pesquisadores de segurança da Hudson Rock identificaram uma carteira que pode ser controlada pelo invasor (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18), incorporada ao JavaScript malicioso.
Uma análise da atividade da carteira na blockchain, feita pelo BleepingComputer, constatou que ela transferiu cerca de 28,6 milhões de POL, avaliados em aproximadamente US$ 2,57 milhões, para outras três carteiras.
Registros da blockchain também mostram que a carteira realizou várias transações com o contrato do token de mercado de previsões da Polymarket entre 13h50 e 13h56, no horário do leste dos Estados Unidos, pouco antes da suspensão das negociações.
A Hudson Rock informou que a carteira continha cerca de US$ 2,19 milhões em criptomoedas no momento da investigação.
Os pesquisadores da empresa identificaram um JavaScript malicioso distribuído pelo endereço cdn.debugbear[.]com/C7xcKKrjUnXK.js. O código foi criado para roubar criptomoedas e ativos de mercado de previsões dos usuários da Polymarket.
O script estava hospedado na infraestrutura da DebugBear, um serviço de monitoramento de desempenho de sites que ajuda organizações a acompanhar a velocidade de carregamento e a experiência dos usuários.
O serviço de Real User Monitoring (RUM) da DebugBear usa JavaScript incorporado a sites para coletar métricas de desempenho nos navegadores dos visitantes.
A DebugBear confirmou que está investigando um incidente de segurança em andamento e recomendou que os clientes removam de seus sites o código JavaScript de monitoramento.
“Estamos sendo afetados por um incidente de segurança em andamento”, informou a DebugBear em uma publicação no X.
“Se você usa nosso produto RUM, remova o código incorporado do seu site.”
No momento da publicação, o site da DebugBear estava inacessível e exibia um erro da Cloudflare. Não está claro se a indisponibilidade está relacionada às medidas para conter o incidente ou se é outra consequência do ataque.
Os pesquisadores da Hudson Rock também encontraram metadados de uma compilação de produção da Polymarket com a mensagem: “chore(polymarket): remove debugbear rum script (#15337)”. O registro indica que a plataforma removeu a integração de monitoramento da DebugBear.
A compilação tinha o horário de 29 de outubro, às 13h59, no horário do leste dos Estados Unidos, pouco antes de a Polymarket anunciar publicamente o incidente.
O BleepingComputer analisou uma cópia do arquivo JavaScript malicioso disponível no VirusTotal e constatou que ele foi criado para sequestrar sessões autenticadas de negociação da Polymarket, liquidar posições de usuários no mercado de previsões e transferir criptomoedas e outros ativos para uma carteira controlada pelo invasor.
O malware verifica se o visitante está conectado à Polymarket e tenta usar a sessão de negociação já aberta e os recursos da plataforma para realizar transações não autorizadas. Em seguida, examina os saldos de criptomoedas e as posições do usuário no mercado de previsões para calcular o valor dos ativos.
A forma como o usuário se autenticou na Polymarket determina como o malware tenta roubar seus ativos. Em alguns casos, o código tenta vender automaticamente as posições do usuário no mercado de previsões. Em outros, tenta transferir diretamente os tokens dessas posições para uma carteira controlada pelo invasor.
O malware também tenta converter as criptomoedas dos usuários em ativos que possam ser transferidos para uma carteira do invasor, utilizando os recursos de transação já existentes na Polymarket.
O BleepingComputer constatou que o script malicioso se comunicava com data.debugbear.com para receber instruções e enviar informações sobre as contas visadas, os endereços das carteiras, os saldos e os resultados das transações.
O uso da infraestrutura da DebugBear tanto para distribuir o script malicioso quanto como servidor de comando e controle (C2) e de exfiltração de dados levanta dúvidas sobre o nível de acesso dos invasores aos sistemas da empresa.
Segundo o BleepingComputer, o veículo procurou a Polymarket e a DebugBear para esclarecer o incidente. Até a publicação da reportagem, as empresas não haviam respondido.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...