Polymarket 在加密货币掏空脚本入侵后暂停交易，已追踪 250 万美元

预测市场平台 Polymarket 于周四暂时暂停交易，此前黑客攻陷了一个第三方服务以分发掏空加密货币的 JavaScript，约 250 万美元资产被追踪到一个疑似攻击者钱包。

该公司证实了这起安全事件，表示已识别并修复了影响其国际平台 Polymarket.com 的问题，并将此次泄露移交执法部门。

"我们的一个第三方提供商被攻陷，我们已将此事移交相关执法部门，" Polymarket 表示。

"任何受到影响的人都将获得全额补偿。出于谨慎考虑，我们已暂时暂停交易，并正在努力使平台恢复在线。"

Polymarket 最初于东部时间下午 2:05 将其交易所置于仅取消模式，并在调查该事件期间暂停了中继器操作。下午 2:37，该公司宣布问题已修复，出于谨慎考虑交易被暂时暂停。

交易在初次暂停约一小时后恢复，该事件于东部时间下午 3:05 被标记为已解决。

"交易现已完全恢复在线，"该公司在 X 上宣布。"我们会妥善处理此事，并正在全额补偿所有受影响的交易者。"

Polymarket 尚未披露有多少用户受到影响、被盗多少加密货币，或补偿流程将如何运作。

Hudson Rock 的安全研究人员识别出一个嵌入在恶意 JavaScript 中的疑似攻击者控制的钱包（0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18）。

BleepingComputer 对该钱包区块链活动的检查发现，它向另外三个钱包转移了约 2,860 万 POL，价值约 257 万美元。

区块链记录还显示，该钱包在东部时间下午 1:50 至 1:56 之间（就在交易所暂停交易前不久）进行了大量涉及 Polymarket 预测市场代币合约的交易。

Hudson Rock 报告称，该钱包在调查时持有约 219 万美元的加密货币。

用于掏空钱包的恶意 JavaScript

Hudson Rock 的安全研究人员识别出通过 cdn.debugbear[.]com/C7xcKKrjUnXK.js 分发的恶意 JavaScript，其设计目的是从 Polymarket 用户处窃取加密货币和预测市场持仓。

该脚本托管在属于 DebugBear 的基础设施上，这是一家帮助组织跟踪网站加载速度和用户体验的网站性能监控服务。

DebugBear 的 Real User Monitoring（RUM）服务使用嵌入在网站中的 JavaScript 从访问者的浏览器收集性能指标。

DebugBear 此后确认其正在调查一起正在进行的安全事件，并警告客户从其网站上移除其监控 JavaScript。

"我们受到一起正在进行的安全事件的影响，" DebugBear 在 X 上发帖表示。

"如果你使用我们的 RUM 产品，请从你的网站中移除嵌入代码。"

在撰写本文时，DebugBear 的网站无法访问，显示一个 Cloudflare 错误。目前尚不清楚网站中断是否与遏制措施或该事件的其他后果有关。

Hudson Rock 的研究人员还发现了 Polymarket 生产构建元数据，其中包含提交信息 "chore(polymarket): remove debugbear rum script (#15337)"，表明该平台已移除 DebugBear 监控集成。

该构建的时间戳为 10 月 29 日东部时间下午 1:59，就在 Polymarket 公开宣布该事件之前。

BleepingComputer 分析了该恶意 JavaScript 文件的一个副本（VirusTotal），发现它被设计为劫持已认证的 Polymarket 交易会话，清算用户的预测市场持仓，并将加密货币和其他资产转移到攻击者控制的钱包。

该恶意软件检查访问者是否登录到 Polymarket，并尝试利用其现有交易会话和平台的交易功能执行未经授权的交易。

然后，它检查用户的加密货币余额和预测市场持仓，以确定其持仓价值。

根据用户对 Polymarket 进行身份验证的方式，该恶意软件会尝试以不同方式窃取其资产。

对于某些用户，它会尝试自动出售其预测市场持仓。对于其他用户，该恶意软件会尝试将其预测市场代币直接转移到攻击者控制的钱包。

该恶意软件还尝试使用 Polymarket 现有的交易功能，将用户的加密货币持仓转换为可转移到攻击者控制钱包的资产。

BleepingComputer 发现，该恶意脚本与 data.debugbear.com 通信以接收指令，并发送关于目标账户、钱包地址、余额和交易结果的数据。

使用 DebugBear 的基础设施既分发恶意脚本又充当命令与控制（C2）和数据窃取服务器，引发了关于攻击者对该系统拥有多大访问权限的疑问。

BleepingComputer 已就此事联系 Polymarket 和 DebugBear，如果收到回应将更新本文。