Polymarket Saldırısında 726 Cüzdandan 2,7 Milyon Dolar Çalındı

Tahmin piyasası platformu Polymarket, 29 Ekim'de DebugBear adlı bir şirketten yüklenen sayfa hızı ölçüm betiğinin kötü amaçlı kodla değiştirilmesi sonucu ciddi bir güvenlik ihlaliyle karşı karşıya kaldı. Zararlı kod, oturum açmış durumdaki kullanıcıların işlem pozisyonlarını sattı ve fonlarını saldırganların cüzdanına aktardı. Polymarket, etkilenen 726 cüzdana yaklaşık 2,7 milyon dolar iade edeceğini açıkladı. Blokzincir kayıtları ise saldırı süresince yaklaşık 2,64 milyon dolar değerinde kripto paranın bir saatten kısa sürede saldırganların cüzdanına ulaştığını ortaya koydu.

DebugBear Betiği Nasıl Ele Geçirildi?​

Saldırıda kullanılan betik, web sayfalarının gerçek ziyaretçiler için ne kadar hızlı yüklendiğini ölçen DebugBear'ın gerçek kullanıcı izleme (RUM) aracına aitti. Hudson Rock araştırmacıları, 29 Ekim'de Polymarket'in DebugBear betiğini yüklediği adresten zararlı dosyayı indirdi ve Polymarket'in site kodunda betiği kaldıran bir değişiklik tespit etti. DebugBear, şirketin alan adı kayıt kuruluşu aracılığıyla DNS kayıtlarının ele geçirildiğini X platformunda duyurdu. İlk bulgular saldırının yalnızca bir müşterinin web sitesini hedef aldığına işaret ederken şirket, kendi sistemlerine sızıldığına dair herhangi bir kanıt bulunmadığını, ancak incelemenin sürdüğünü belirtti.
Ohey araştırmacıları, zararlı dosyanın hâlâ çevrimiçi olduğu 18:13 UTC itibarıyla DebugBear'ın web adreslerine yanıt veren farklı bir sunucu tespit etti. O gün daha önce normal betik Google Cloud Storage üzerinden sunuluyordu. Her DebugBear müşterisinin betiğin kendi kopyasını yüklediği ve değiştirilen dosyanın Polymarket'e ait olduğu belirlendi.

Zararlı Kod Parayı Nasıl Çaldı?​

Hudson Rock araştırmacıları dosyayı çalıştırmadan inceleyerek kodun nasıl işlediğini ortaya koydu. Kod, oturum açmış bir kullanıcının Polymarket sayfasında zaten sahip olduğu erişim yetkisini yeniden kullandı; tarayıcıda saklanan işlem API anahtarları dahil hesap bilgilerini okudu. Ancak araştırmacılar, kodun bu anahtarları, parolayı, tohum ifadesini veya özel anahtarı herhangi bir sunucuya gönderen bir bölüm bulamadı.
Bunun yerine kod, sayfada emir veren bölümü ve hesabın işlemlerini onaylayan imzalayıcıyı aradı. Kripto cüzdanıyla oturum açmış hesaplarda işlem pozisyonlarını doğrudan saldırganların cüzdanına aktardı. E-posta ile oturum açmış hesaplarda ise pozisyonları giderek daha kötü fiyatlardan satıp ardından parayı dışarıya taşıdı. Her iki durumda da kod, hesabın kendi imzalayıcısından talepleri imzalamasını isteyerek bunları Polymarket'in aktarıcısına iletti.
Ohey'in blokzincir takibine göre saldırganların cüzdanı ilk fonu 17:10 UTC'de, sonuncusunu ise 18:02 UTC'de aldı. Bu süre zarfında 33 cüzdandan 28,6 milyon POL token ve pozisyon toplandı. 18:19 UTC itibarıyla 28,6 milyon POL, DefiLlama'nın 0,0922 dolarlık fiyatıyla yaklaşık 2,64 milyon dolar değerindeydi. Bu rakam yalnızca POL tokenlarını kapsıyor, pozisyonları içermiyordu. Cüzdan, 28,6 milyon POL'un tamamını 18:28 ile 18:38 UTC arasında üç farklı adrese aktardı.

Polymarket'in Müdahalesi ve İade Süreci​

Polymarket, kullanıcı cüzdanlarındaki yetkisiz etkinliğe ilişkin ilk durum güncellemesini 17:38 UTC'de yayımladı. 18:05 UTC'de ise borsanın yalnızca iptal moduna alındığını ve aktarıcı işlemlerinin durdurulduğunu duyurdu. Şirket, betiği bir saat içinde kaldırdığını, tüm önbelleği temizlediğini, aktif oturum açma oturumlarını sıfırladığını ve site temizlenene kadar işlemleri askıya aldığını açıkladı. Konu aynı zamanda kolluk kuvvetlerine bildirildi.
30 Ekim itibarıyla etkilenen 726 cüzdanın 689'una tam iade yapılmış, kalan 37'si ise kontrol edildikçe ödeme alıyordu. Polymarket, işlem duraklaması sırasında para kaybeden veya pozisyonları alınan yaklaşık 5.500 cüzdana da 1,19 milyon dolar ödemeyi kararlaştırdı. Toplamda 3,9 milyon dolar iade edilecek. Kullanıcıların herhangi bir talep formu doldurması gerekmiyor; yalnızca iade miktarının yanlış olduğunu düşünenler veya ödeme alması gerektiğini düşünenler Polymarket'in durum sayfasındaki formu kullanabiliyor.

Siteler ve Kullanıcılar İçin Güvenlik Önerileri​

DebugBear, RUM ürününün müşterilerine web sitelerinden gömme kodunu kaldırmalarını tavsiye etti. Zararlı dosyayı sunan adres olan cdn.debugbear[.]com'un 1 Kasım'da DNS kaydı bulunmuyordu. Polymarket ise üçüncü taraf betikleri güçlendirilmiş İçerik Güvenliği Politikası (CSP), sabitlenmiş sürümler ve korumalı alan uygulamaları gibi ek denetimlerle yeniden devreye alacağını bildirdi.
Hudson Rock, dış betik yükleyen siteler için kullanıcıların işlem yaptığı veya imzaladığı sayfalardan gereksiz üçüncü taraf kodlarının uzak tutulmasını önerdi. Bir dosya sabitlenebiliyorsa, içeriği değiştiğinde tarayıcının dosyayı reddetmesine olanak tanıyan Alt Kaynak Bütünlüğü (SRI) kullanılmasını tavsiye etti. Güvenilir bir CDN'e izin veren bir güvenlik politikasının o CDN'in sunduğu dosyaları denetlemediğini de vurguladı. Kullanıcılara yönelik öneri ise beklenmedik imzalama taleplerini reddetmek oldu.

Sıkça Sorulan Sorular​

Polymarket saldırısında tam olarak ne kadar para çalındı?​

Blokzincir kayıtlarına göre saldırganların cüzdanına bir saatten kısa sürede yaklaşık 2,64 milyon dolar değerinde kripto para ulaştı. Bu rakam yalnızca 28,6 milyon POL tokenını kapsıyor; çalınan pozisyonlar bu hesaba dahil değil. Polymarket, etkilenen 726 cüzdana yaklaşık 2,7 milyon dolar iade edeceğini açıkladı.

Saldırıda hangi şirketin betiği kullanıldı ve bu betik nasıl ele geçirildi?​

Saldırıda DebugBear'ın gerçek kullanıcı izleme (RUM) aracına ait sayfa hızı ölçüm betiği kullanıldı. DebugBear, şirketin alan adı kayıt kuruluşu aracılığıyla DNS kayıtlarının ele geçirildiğini açıkladı. İlk bulgular saldırının yalnızca bir müşterinin web sitesini hedef aldığını gösteriyor.

Zararlı kod kullanıcıların özel anahtarlarını ya da parolalarını çaldı mı?​

Hudson Rock araştırmacıları dosyayı incelediğinde, kodun özel anahtar, parola veya tohum ifadesi gönderdiğine dair herhangi bir bölüm bulamadı. Kod, oturum açmış kullanıcının sayfada zaten sahip olduğu erişim yetkisini ve hesabın kendi imzalayıcısını kullanarak işlemleri gerçekleştirdi.

Polymarket etkilenen kullanıcılara ne kadar iade yapıyor ve başvuru gerekiyor mu?​

Polymarket, etkilenen 726 cüzdana yaklaşık 2,7 milyon dolar ve işlem duraklaması sırasında zarar gören yaklaşık 5.500 cüzdana 1,19 milyon dolar olmak üzere toplamda 3,9 milyon dolar iade ediyor. Kullanıcıların herhangi bir talep formu doldurması gerekmiyor; yalnızca iade miktarının hatalı olduğunu düşünenler Polymarket'in durum sayfasındaki formu kullanabiliyor.

Bu tür tedarik zinciri saldırılarına karşı siteler nasıl korunabilir?​

Hudson Rock, kullanıcıların işlem yaptığı sayfalardan gereksiz üçüncü taraf kodlarının uzak tutulmasını ve mümkün olan durumlarda Alt Kaynak Bütünlüğü (SRI) kullanılmasını önerdi. Polymarket ise güçlendirilmiş İçerik Güvenliği Politikası (CSP), sabitlenmiş sürümler ve korumalı alan uygulamalarını hayata geçireceğini açıkladı.