Polymarket’ten 2,7 Milyon Dolarlık Kripto Para Çalındı: DebugBear Komut Dosyası Saldırısı

Polymarket’ten 2,7 Milyon Dolarlık Kripto Para Çalındı: DebugBear Komut Dosyası Saldırısı

Tahmin piyasası platformu Polymarket, 29 Ekim’de kötü niyetli bir kodun web sitesine sızması sonucu yaklaşık 2,7 milyon dolar değerinde kripto paranın çalındığını duyurdu. Bu saldırı, siteye dışarıdan yüklenen bir sayfa hızı komut dosyasının ele geçirilmesiyle gerçekleşti.

Polymarket, etkilenen 726 cüzdana yaklaşık 2,7 milyon dolar iade edeceğini belirtti. Blockchain kayıtları, yaklaşık 2,64 milyon dolar değerindeki kripto paranın bir saatten kısa sürede saldırganların cüzdanına ulaştığını gösteriyor.

Ele geçirilen komut dosyası, web sayfalarının gerçek ziyaretçiler için ne kadar hızlı yüklendiğini ölçen gerçek kullanıcı izleme (RUM) aracı sağlayan DebugBear şirketine aitti.

Saldırının Detayları ve Araştırmalar

Hudson Rock araştırmacıları, 29 Ekim’de Polymarket’in sitesinin DebugBear komut dosyasını yüklemek için kullandığı adresten kötü niyetli dosyayı indirdi. Ayrıca Polymarket’in site kodunda DebugBear komut dosyasını kaldıran bir değişiklik tespit ettiler.

DebugBear, X üzerinden yaptığı açıklamada DNS kayıtlarının alan adı kayıt şirketi aracılığıyla ele geçirildiğini bildirdi. İlk bulgular, saldırının belirli bir müşterinin web sitesini hedef aldığını ve kendi sistemlerine bir sızma belirtisi olmadığını gösteriyor, ancak araştırmalar devam ediyor.

Ohey araştırmacıları, kötü niyetli dosyanın hala çevrimiçi olduğu 18:13 UTC’de DebugBear’ın web adresleri için farklı bir sunucunun yanıt verdiğini buldu. O günün erken saatlerinde normal komut dosyası Google Cloud Storage’dan sunulmuştu. Her DebugBear müşterisi kendi komut dosyası kopyasını yükler ve değiştirilen dosya Polymarket’e aitti.

Saldırganlar Parayı Nasıl Çaldı?

Hudson Rock, kötü niyetli dosyayı çalıştırmadan inceledikten sonra, kodun oturum açmış bir kullanıcının açık bir Polymarket sayfasında zaten sahip olduğu erişimi yeniden kullandığını tespit etti. Kod, Polymarket’in tarayıcıda tuttuğu, bir dizi ticaret API anahtarı da dahil olmak üzere hesap ayrıntılarını okudu.

Bu API anahtarları tek başına Polymarket’te bir emir veremez, çünkü emirler ayrıca bir cüzdan imzası gerektirir. Hudson Rock, kodun anahtarları, bir şifreyi, bir tohum ifadesini veya özel bir anahtarı rapor ettiği sunucuya gönderen bir bölüm bulamadı.

Bunun yerine, kod Polymarket’in emir veren bölümünü ve hesabın işlemlerini onaylayan imzalayıcıyı sayfada arar.

Daha sonra iki yoldan birini izler: Kendi kripto cüzdanlarıyla giriş yapan hesaplar için, kullanıcının pozisyonlarını doğrudan saldırganların cüzdanına taşır. E-posta ile giriş yapan hesaplar için ise pozisyonları giderek kötüleşen fiyatlarla satar ve ardından parayı dışarı taşır.

Her iki durumda da kod, hesabın kendi imzalayıcısından isteklerini imzalamasını ister ve bunları Polymarket’in aktarıcısına (relayer) iletir. Hudson Rock, yalnızca bir imzalama isteğinin, kullanıcının bir uyarı görmeden imzaladığını kanıtlamadığını belirtti. Cüzdan sağlayıcısı yine de kullanıcıya sorabilir, reddedebilir veya oturum için kendi kurallarını uygulayabilir.

Ohey’in blockchain izlemesine göre, koda yazılan cüzdan ilk fonlarını 17:10 UTC’de, son fonlarını ise 18:02 UTC’de aldı. Bu süre zarfında 33 cüzdandan 28,6 milyon POL tokeni ve pozisyon topladı.

DefiPrime’ın hesaplamalarına göre, 18:19 UTC’de bu 28,6 milyon POL, DefiLlama’nın 0,0922 dolarlık fiyatıyla yaklaşık 2,64 milyon dolar değerindeydi. Bu rakam sadece POL’ü kapsıyor, pozisyonları değil.

Cüzdanın işlem geçmişi, 28,6 milyon POL’ün tamamını 18:28 ile 18:38 UTC arasında üç başka adrese gönderdiğini gösteriyor.

Polymarket’in Yanıtı ve İadeler

Polymarket, kullanıcı cüzdanlarındaki yetkisiz faaliyet hakkında ilk durum güncellemesini 17:38 UTC’de yayınladı. 18:05 UTC’de, borsasının yalnızca iptal modunda olduğunu ve aktarıcı eylemlerinin duraklatıldığını duyurdu.

Şirket, komut dosyasını “bir saat içinde” kaldırdığını belirtti. Ayrıca tüm önbellekleri temizledi, tüm aktif oturumları sıfırladı ve site temizlenene kadar ticareti duraklattı. Olayı kolluk kuvvetlerine bildirdi.

30 Ekim itibarıyla, etkilenen 726 cüzdanın 689’una tam iade yapılmıştı ve kalan 37’si kontrol edildikçe ödeniyordu. Polymarket ayrıca, ticaret duraklaması sırasında para kaybeden veya pozisyonları alınan yaklaşık 5.500 cüzdana 1,19 milyon dolar ödüyor. Toplamda, kullanıcılara 3,9 milyon dolar iade ediyor.

Kullanıcıların talep dilekçesi sunmasına gerek yok. Polymarket’in durum sayfası, miktarlarının yanlış olduğunu veya ödeme almaları gerektiğini düşünen herkes için bir form bağlantısı sağlıyor.

Siteler ve Kullanıcılar İçin Öneriler

DebugBear, RUM ürününün müşterilerine gömülü kodlarını web sitelerinden kaldırmalarını söyledi. The Hacker News’in 1 Kasım’da yaptığı kontrolde, kötü niyetli dosyayı sunan cdn.debugbear[.]com adresinin DNS kaydı bulunmuyordu.

Polymarket, üçüncü taraf komut dosyalarını ek kontrollerle, örneğin daha güçlü bir İçerik Güvenlik Politikası (CSP), sabitlenmiş sürümler ve sanal alanlama ile yeniden yerleştirdiğini belirtti.

Hudson Rock’ın Siteler İçin Tavsiyeleri:

• Kullanıcıların ticaret yaptığı veya oturum açtığı sayfalarda gereksiz üçüncü taraf kodlarını tutmayın.
• Bir dosyanın sabitlenebildiği durumlarda, tarayıcının içeriği değişirse dosyayı reddetmesini sağlayan Alt Kaynak Bütünlüğü (SRI) kullanın. Güvenilir bir CDN’ye izin veren basit bir güvenlik politikası, o CDN’nin sunduğu dosyaları kontrol etmez.
• Oturum açmış bir sayfadaki hangi kodun imzalayıcıdan ne yapmasını isteyebileceğini kontrol edin.

Hudson Rock’ın kullanıcılara tavsiyesi ise, beklemedikleri herhangi bir imzalama isteğini reddetmeleridir.