Hackerlar DebugBear Script’i Ele Geçirerek Polymarket İşlemcilerinden Yaklaşık 2,7 Milyon Doları Çaldı.

Gorsel Kaynagi: The Hacker News

29 Ekim’de tahmin piyasası Polymarket‘in web sitesindeki kötü amaçlı kod, giriş yapmış bazı trader’ların pozisyonlarını sattı ve fonlarını hackerlara aktardı. Kod, sitenin dış bir şirketten yüklediği sayfa hızı scriptinin yerini almıştı.

Polymarket, yaklaşık 2,7 milyon doları etkilenen 726 cüzdana iade ettiğini belirtiyor. Blok zinciri kayıtları, yaklaşık 2,64 milyon dolar değerinde kriptonun bir saatten kısa bir sürede hackerların cüzdana ulaştığını gösteriyor.

Yerini alan script DebugBear’dan geliyordu; gerçek kullanıcı izleme (RUM) aracı, web sayfalarının gerçek ziyaretçiler için ne kadar hızlı yüklendiğini ölçüyor.

Hudson Rock araştırmacıları, 29 Ekim’de Polymarket sitesinin DebugBear scriptini yüklemek için kullandığı adresten kötü amaçlı dosyayı indirdi. Ayrıca DebugBear scriptini kaldıran bir Polymarket site kodu değişikliği de tespit etti.

DebugBear, DNS kayıtlarının domain kaydını yapan şirketi (registrar) üzerinden ele geçirildiğini X platformunda duyurdu. Erken bulgular, saldırının tek bir müşterinin web sitesini hedef aldığını gösteriyor. Kendi sistemlerine bir giriş izi görülmediğini, ancak araştırmaların sürdüğünü belirtti.

Ohey araştırmacıları, 18:13 UTC’de (kötü amaçlı dosya çevrimiçi iken) DebugBear’ın web adreslerine yanıt veren farklı bir sunucu buldu. Günün başlarında normal script Google Cloud Storage üzerinden sunuluyordu. Her DebugBear müşterisi kendi script kopyasını yükler ve değiştirilen dosya Polymarket’in kopyasıydı.

Script Parayı Nasıl Aldı

Kod, giriş yapmış bir trader’ın açık bir Polymarket sayfasında zaten sahip olduğu erişimi yeniden kullanıyor; Hudson Rock dosyayı çalıştırmadan inceledikten sonra bunu tespit etti. Polymarket’in tarayıcıda sakladığı hesap ayrıntılarını, arasında bir dizi ticaret API anahtarı da dahil olmak üzere okuyor.

Bu API anahtarları baş başına Polymarket’te emir veremez, çünkü emirler için bir cüzdan imzası da gerekir. Hudson Rock, anahtarları, bir şifreyi, bir seed ifadesini veya özel anahtarı raporladığı sunucuya gönderen kodun hiçbir parçasını bulamadı.

Bunun yerine kod, sayfada emir veren Polymarket sitesinin parçasını ve hesabın işlemlerini onaylayan imzalayı (signer) arıyor.

Sonrasında iki yoldan birini seçiyor. Kendi kripto cüzdanıyla giriş yapan hesaplar için trader’ın pozisyonları doğrudan hackerların cüzdanına aktarılıyor. E-posta ile giriş yapan hesaplar içinse pozisyonlar her geçen gün kötüleşen fiyatlarla satılıyor ve para hesabdan alınıyor.

Her iki yolda da kod, hesabın kendi imzalayıcısından istekleri imzalamayı istiyor ve bunları Polymarket’in relayer’ına teslim ediyor; relayer da bu istekleri gönderiyor. Hudson Rock, yalnızca bir imzalama isteğinin bir trader’ın bir prompt görmeden imzaladığını kanıtlamadığını belirtiyor. Cüzdan sağlayıcısı trader’dan hala istemeyi reddedebilir veya oturum için kendi kurallarını uygulayabilir.

Koda gömülen cüzdan, Ohey’in blockchain takibine göre ilk fonlarını 17:10 UTC’de ve son fonlarını 18:02 UTC’de aldı. Bu süre içinde 28,6 milyon POL token ve 33 cüzdanın pozisyonlarını topladı.

18:19 UTC’de, bu 28,6 milyon POL, DefiLlama’nın 0,0922 dolarlık fiyatıyla yaklaşık 2,64 milyon dolara değerliydi; bu DefiPrime’ın hesaplaması. Bu rakam yalnızca POL’ü kapsıyor, pozisyonları değil.

Görsel Kaynak: The Hacker News

Cüzdan, 18:28 ile 18:38 UTC arasında 28,6 milyon POL’nin tamamını üç başka adrese aktardı; işlem geçmişi bunu gösteriyor.

Polymarket’in Tepkisi ve İadeler

Polymarket, kullanıcı cüzdanlarındaki yetkisiz faaliyetlere dair ilk durum güncellemesini 17:38 UTC’de paylaştı. 18:05 UTC’de ise borsasının yalnızca iptal modunda olduğunu, relayer işlemlerinin duraklatıldığını belirtti.

Şirket, scripti “bir saat içinde” kaldırdığını söyledi. Ayrıca tüm önbelleği temizledi, tüm aktif oturum girişlerini sıfırladı ve site temizlene.trade tradingı duraklattı. Olayı kolluk kuvvetlerine devretti.

30 Ekim’e kadar, etkilenen 726 cüzdanın 689’u tam olarak iade edildi; geri kalan 37’si incelenirken ödeniyor. Polymarket, ayrıca trading duraklatması sırasında para kaybeden veya pozisyonları alınan yaklaşık 5.500 cüzdana 1,19 milyon dolar ödüyor. Toplamda trader’lara 3,9 milyon dolar iade ediyor.

Trader’ların bir talep dosyalamaları gerekmiyor. Polymarket’in durum sayfası, tutarının yanlış olduğunu düşünüyor veya bir ödeme almaları gerektiğini düşünen herkes için bir form bağlantısı veriyor.

Siteler ve Trader’lar Ne Yapabilir

DebugBear, RUM ürününün müşterilerine embed kodlarını web sitelerinden çıkarmalarını istedi. Kötili amaçlı dosyayı sunan cdn.debugbear[.]com adresi, The Hacker News’ün 1 Kasım’da yaptığı kontrollerde DNS kaydı barındırmıyordu.

Polymarket, üçüncü taraf scriptleri ek kontrollerle geri yerleştirdiğini belirtti; bu kontroller arasında daha güçlü bir İçerik Güvenlik Politikası (CSP), sabitlenmiş sürümler ve sandboxlama yer alıyor.

Hudson Rock’ın dış scriptleri yükleyen siteler için önerileri:

• Kullanıcıların işlem yaptığı veya giriş yaptığı sayfalarda gereksiz üçüncü taraf kodlarını bulundurmayın.
• Dosyanın sabitlenebileceği durumlarda Subresource Integrity (SRI) kullanın; bu, tarayıcının dosyanın içeriği değiştiğinde dosyayı reddetmesini sağlar. Yalnızca güvenilir bir CDN’ye izin veren bir güvenlik politikası, CDN’nin sunduğu dosyaları kontrol etmez.
• Giriş yapılmış bir sayfada hangi kodun imzalayıcıdan ne istediğini kontrol edin.

Hudson Rock’ın trader’lar için önerisi ise, beklemedikleri herhangi bir isteme imzalama konusunda reddetmek.