Дрейнер на Polymarket: взломанный скрипт DebugBear продавал позиции трейдеров, ушло не меньше $2,7 млн

Дрейнер на Polymarket 29 октября на час остановил торги на международной платформе: через взломанный сторонний сервис DebugBear в сайт попал вредоносный JavaScript, который продавал позиции пользователей и выводил их средства. Polymarket обещает компенсировать всё пострадавшим.

Что произошло

Днём 29 октября трейдеры начали жаловаться в соцсетях на списания, которых они не делали. В 14:05 по восточному времени США (21:05 по Москве) Polymarket перевёл биржу в режим «только отмена ордеров» и приостановил действия релеера. В 14:37 компания сообщила, что проблему нашли и исправили, а торги остановлены из осторожности. Примерно через час после начала паузы торги вернулись, инцидент закрыли в 15:05.

Подробный разбор сделал BleepingComputer. Исследователи Hudson Rock нашли вредоносный файл на домене cdn.debugbear.com. DebugBear — это сервис Real User Monitoring: сайты встраивают его JavaScript, чтобы собирать метрики загрузки страниц. Именно этот «безобидный» скрипт и подменили.

Как работал дрейнер:

1. Проверял, залогинен ли посетитель на Polymarket, и пытался использовать его действующую торговую сессию.
2. Смотрел балансы и позиции на рынках предсказаний, оценивая, что можно забрать.
3. В зависимости от способа входа либо автоматически продавал позиции, либо переводил токены позиций напрямую на кошелёк атакующего, а остальное конвертировал в переводимые активы.

Команды и данные о жертвах скрипт гонял через data.debugbear.com — то есть атакующие контролировали у DebugBear не только раздачу файла, но и сервер для управления. Кошелёк, вшитый в код, по подсчётам BleepingComputer, перевёл около 28,6 млн POL (порядка $2,57 млн) на три других адреса. В сборке Polymarket нашли коммит с удалением скрипта DebugBear с отметкой 13:59 ET — незадолго до публичного объявления.

«Один из наших сторонних провайдеров был скомпрометирован, и мы передали дело правоохранительным органам», — написал Polymarket; по данным CNBC, дело передали в Великобританию, где базируется DebugBear.

Чем опасен дрейнер на Polymarket

Здесь не было фишингового сайта и не нужно было ничего подписывать в незнакомом окне. Пользователь заходил на настоящий polymarket.com, а вредоносный код выполнялся внутри доверенной страницы. Это атака на цепочку поставок: ломают не саму платформу, а маленький сторонний сервис, который она подключила.

Для Polymarket это не первый такой случай — CNBC напоминает, что в июне компания тоже сообщала о компрометации стороннего вендора и компенсациях. А время неудачное: 3 ноября в США промежуточные выборы, и на обеих платформах ждут всплеск объёмов. Ещё один фон — в те же сутки случился крупнейший взлом биржи Binance, и рынок и так был на нервах.

Почему это касается не только Polymarket. Почти каждый крупный крипто-сервис подключает десятки сторонних скриптов: аналитику, мониторинг ошибок, чаты поддержки, A/B-тесты. Каждый такой скрипт выполняется в браузере с теми же правами, что и код самой платформы. Если его поставщика взломают, злоумышленник получает доступ к странице, где ты уже вошёл в аккаунт и где интерфейс умеет отправлять транзакции от твоего имени. Платформы защищаются политиками безопасности контента и привязкой хэшей к внешним файлам, но, как видно, это делают не везде.

Для пользователя вывод неприятный: проверка адреса сайта и «замочка» в браузере тут не спасает. Дрейнер на Polymarket сработал на настоящем домене. Снизить риск можно только тем, что от тебя зависит, — объёмом средств на платформе и скоростью реакции.

Похожую историю с компрометацией через поставщика данных мы недавно разбирали в материале про взлом Allium.

Что делать

• Если пользуешься международным Polymarket, проверь историю операций и позиции за 29 октября. Любые странные продажи и переводы — повод писать в официальную поддержку.
• Компенсацию запрашивай только через официальные каналы Polymarket. Сообщения в личке с «формой возврата» — почти наверняка фишинг на волне новостей.
• Не держи на торговых аккаунтах больше, чем нужно для текущих ставок. Свободные средства лучше хранить отдельно.
• Регулярно проверяй и отзывай лишние разрешения в кошельке — пошагово это есть в гайде как отозвать approve.
• Отличать поддельные уведомления помогает наш разбор как распознать фишинговое уведомление.

FAQ

Что такое дрейнер на Polymarket? Вредоносный JavaScript, который попал на сайт через взломанный сервис DebugBear и использовал сессии залогиненных пользователей, чтобы продавать их позиции и выводить средства.

Сколько украли? Точной официальной цифры нет. Аналитики насчитали минимум $2,7 млн из 710 кошельков, BleepingComputer проследил около $2,57 млн в POL.

Вернут ли деньги? Polymarket обещает компенсировать всем пострадавшим: суммы до $10 000 — до 30 октября, крупнее — после подписания release form.

Американская версия пострадала? Нет, по данным CNBC, US-платформа не была скомпрометирована.

Итог: дрейнер на Polymarket показал, что даже настоящий сайт может стать ловушкой, если взломан один из его поставщиков. Защита тут простая и скучная: держать на платформе минимум, следить за операциями и верить только официальным каналам.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.