Khách hàng Polymarket thiệt hại khoảng 3 triệu USD do tấn công chuỗi cung ứng
"Polymarket disclosed a supply-chain attack in which a malicious script was injected into its frontend through a compromised third-party vendor, causing users to approve fraudulent transactions on the official site. The company says its own backend and servers were not affected, and it will fully reimburse affected customers after an estimated $3 million in losses, with stolen funds reportedly bridged from Polygon to Ethereum and swapped into about 1,893 ETH."
Tác động chủ yếu đến lớp frontend thông qua tấn công chuỗi cung ứng, dẫn tới phê duyệt giao dịch gian lận và thất thoát tài sản; tuy nhiên backend/máy chủ không bị ảnh hưởng.
Nền tảng phải hoàn trả toàn bộ cho khách hàng bị ảnh hưởng, đồng thời chịu rủi ro suy giảm niềm tin do sự cố liên quan đến nhà cung cấp bên thứ ba và giao dịch gian lận trên website.
Polymarket cho biết sẽ hoàn trả đầy đủ cho các khách hàng bị ảnh hưởng, sau khi ước tính thiệt hại khoảng 3 triệu USD từ một tấn công chuỗi cung ứng. Theo thông báo của nền tảng, kẻ tấn công đã chèn mã độc vào frontend của website thông qua sự cố tại một nhà cung cấp bên thứ ba (frontend vendor). Kết quả là một số người dùng bị dẫn đến việc phê duyệt giao dịch gian lận ngay trên trang chính thức.
Polymarket khẳng định máy chủ và backend của công ty không bị ảnh hưởng. Dữ liệu từ các hãng phân tích blockchain độc lập ước tính số tiền bị đánh cắp đến từ một số tài khoản hạn chế. Theo PeckShield, đây là một chiến dịch dạng phishing nhằm chiếm khoảng 3 triệu USD dưới dạng ParyonUSD; sau đó số tiền bị đánh cắp được đổi sang 1.893 ETH. Công ty phân tích Bubblemaps cho rằng sự cố tác động đến dưới 15 tài khoản, đồng thời công bố danh sách một số địa chỉ bị ảnh hưởng và ví chứa tiền bị đánh cắp.
Khuyến nghị: rà soát quy trình quản trị phụ thuộc bên thứ ba, tăng cường kiểm soát thay đổi frontend, và triển khai cơ chế giám sát/phát hiện bất thường đối với luồng phê duyệt giao dịch của người dùng.