Polymarket mất 2.7 triệu USD do script DebugBear bị tấn công
"A cryptocurrency prediction market, Polymarket, experienced a security breach on October 29, 2026, resulting in the theft of approximately $2.7 million from traders. The attack involved a compromised DebugBear script, allowing hackers to manipulate user positions and funds. Polymarket is refunding affected users, and DebugBear advises customers to remove its embed code."
Vụ tấn công cho thấy lỗ hổng bảo mật trong việc quản lý third-party scripts có thể dẫn đến mất mát tài chính nghiêm trọng. Các sàn giao dịch cần tăng cường kiểm soát và giám sát.
Sự cố này gây thiệt hại uy tín cho Polymarket và có thể khiến người dùng mất niềm tin. Các doanh nghiệp tương tự cần đầu tư vào bảo mật để tránh rủi ro tương tự.
Ngày 29/10/2026, Polymarket, một sàn giao dịch dự đoán tiền điện tử, bị tấn công khiến khoảng 2.7 triệu USD bị đánh cắp từ người dùng. Kẻ tấn công đã thay thế một script DebugBear (công cụ đo tốc độ tải trang web) bằng mã độc, cho phép thao túng vị thế và quỹ của người dùng.
Polymarket đang hoàn tiền cho 726 ví bị ảnh hưởng. Hồ sơ blockchain cho thấy khoảng 2.64 triệu USD tiền điện tử đã đến ví của kẻ tấn công trong vòng chưa đầy một giờ.
DebugBear xác nhận DNS records của họ bị xâm phạm thông qua domain registrar. Họ cho biết cuộc tấn công nhắm vào một khách hàng duy nhất và hiện chưa phát hiện xâm nhập vào hệ thống của mình. Các nhà nghiên cứu tại Ohey phát hiện server khác trả về địa chỉ web của DebugBear vào lúc 18:13 UTC, khi file độc hại vẫn còn trực tuyến. Script gốc trước đó được phục vụ từ Google Cloud Storage. Mỗi khách hàng DebugBear tải một bản sao script riêng, và file bị thay thế là của Polymarket.
Mã độc tái sử dụng quyền truy cập của người dùng đã đăng nhập trên trang Polymarket. Nó đọc chi tiết tài khoản được lưu trong trình duyệt, bao gồm API keys giao dịch. Những API key này không thể tự đặt lệnh, vì cần chữ ký ví. Hudson Rock không tìm thấy mã gửi key, mật khẩu, seed phrase hay private key đến server của kẻ tấn công.
Thay vào đó, mã tìm phần đặt lệnh và signer (người ký giao dịch) trên trang Polymarket. Với tài khoản đăng nhập bằng ví tiền điện tử, mã chuyển vị thế trực tiếp đến ví của kẻ tấn công. Với tài khoản đăng nhập qua email, mã bán vị thế với giá ngày càng thấp và chuyển tiền đi. Trong cả hai trường hợp, mã yêu cầu signer của tài khoản ký yêu cầu và gửi đến relayer của Polymarket. Hudson Rock lưu ý rằng yêu cầu ký không chứng minh người dùng đã ký, vì ví có thể từ chối hoặc áp dụng quy tắc riêng.
Ví của kẻ tấn công nhận được tiền lần đầu lúc 17:10 UTC và lần cuối lúc 18:02 UTC, tổng cộng 28.6 triệu POL token từ 33 ví. Vào lúc 18:19 UTC, số POL này trị giá khoảng 2.64 triệu USD theo DefiLlama. Sau đó, toàn bộ 28.6 triệu POL được chuyển đến ba địa chỉ khác.
Polymarket thông báo về hoạt động trái phép trong ví người dùng lúc 17:38 UTC và chuyển sàn sang chế độ hủy lệnh lúc 18:05 UTC. Họ đã xóa script độc hại, xóa cache, reset session đăng nhập và tạm dừng giao dịch. Vụ việc đã được báo cáo cho cơ quan thực thi pháp luật.
Tính đến ngày 30/10, 689 trong số 726 ví bị ảnh hưởng đã được hoàn tiền đầy đủ, và 37 ví còn lại đang được kiểm tra. Polymarket cũng trả 1.19 triệu USD cho khoảng 5,500 ví bị mất tiền trong thời gian tạm dừng giao dịch hoặc bị mất vị thế. Tổng cộng, họ trả lại 3.9 triệu USD cho người dùng.
Câu hỏi thường gặp
Polymarket đã mất bao nhiêu tiền trong vụ tấn công?
Khoảng 2.7 triệu USD đã bị đánh cắp từ người dùng Polymarket. Ngoài ra, Polymarket còn hoàn thêm 1.19 triệu USD cho những người dùng bị ảnh hưởng bởi việc tạm dừng giao dịch.
Nguyên nhân vụ tấn công là gì?
Kẻ tấn công đã thay thế một script DebugBear bằng mã độc, cho phép họ thao túng vị thế và quỹ của người dùng. DNS records của DebugBear đã bị xâm phạm.
Polymarket đã phản ứng như thế nào?
Polymarket đã xóa script độc hại, xóa cache, reset session đăng nhập, tạm dừng giao dịch và hoàn tiền cho người dùng bị ảnh hưởng. Họ cũng đã báo cáo vụ việc cho cơ quan thực thi pháp luật.
Góc nhìn của Orange Cloud
Theo chúng tôi, vụ tấn công này cho thấy tầm quan trọng của việc kiểm soát third-party scripts và Content Security Policy (CSP). Các doanh nghiệp Việt Nam sử dụng các dịch vụ tương tự cần xem xét lại cấu hình bảo mật. Điều đáng chú ý là Polymarket đã nhanh chóng phản ứng và hoàn tiền cho người dùng, tuy nhiên, việc ngăn chặn tấn công từ đầu vẫn là ưu tiên hàng đầu. Các nhà phát triển nên thử nghiệm Subresource Integrity (SRI) để đảm bảo tính toàn vẹn của script.