29 października 2026 roku użytkownicy platformy Polymarket, największego rynku predykcyjnego opartego na kryptowalutach, zaczęli tracić środki z portfeli. Przyczyną nie było włamanie do serwerów giełdy, lecz podmieniony skrypt zewnętrznego narzędzia DebugBear, które serwis ładował na swoich stronach. Według dotychczasowych ustaleń straty sięgnęły około 2,7 mln dolarów w 726 portfelach, a Polymarket zapowiedział zwrot poszkodowanym i dodatkowe rekompensaty, w sumie ok. 3,9 mln dolarów.
Jak przebiegł atak
DebugBear to narzędzie do monitorowania szybkości działania stron, które działa jako skrypt ładowany z zewnętrznej domeny. Atakujący przejęli rekordy DNS tej firmy poprzez jej rejestratora domen, dzięki czemu adres skryptu zaczął wskazywać na serwer przestępców. Sama firma twierdzi, że nie znalazła włamania do własnych systemów, a atak wyglądał na wymierzony w jednego klienta – właśnie Polymarket.
Złośliwy kod uruchamiał się w przeglądarce zalogowanego użytkownika, z pełnymi uprawnieniami strony. Odnajdywał mechanizm składania zleceń i podpisywania transakcji, a następnie sam generował polecenia. W przypadku portfeli podłączonych bezpośrednio pozycje były przenoszone na adres napastnika. Przy kontach z logowaniem przez e-mail pozycje sprzedawano po coraz gorszych cenach, a uzyskane środki wysyłano dalej. Całość zajęła niespełna godzinę, a skradzione tokeny POL trafiły następnie na trzy kolejne adresy.
Reakcja i skutki
Polymarket usunął skrypt w ciągu godziny, wyczyścił pamięci podręczne, zresetował sesje i wstrzymał handel do czasu uporządkowania strony. Sprawa trafiła do organów ścigania. Zwroty dla większości poszkodowanych portfeli zrealizowano już następnego dnia. Badacze zwracają uwagę, że nie wykradziono haseł ani fraz odzyskiwania – wystarczyło, że złośliwy kod mógł poprosić o podpis w imieniu zalogowanego użytkownika.
Czego uczy ten incydent
To kolejny przykład ataku na łańcuch dostaw, w którym zaufany dostawca staje się drogą do celu. Każdy zewnętrzny skrypt wczytywany na stronie logowania lub płatności ma dostęp do wszystkiego, co widzi użytkownik.
Jak się chronić
Właściciele stron powinni ograniczyć zewnętrzne skrypty na podstronach z logowaniem i płatnościami, stosować Subresource Integrity, które powoduje odrzucenie pliku ze zmienioną zawartością, oraz restrykcyjną politykę Content Security Policy. Warto też zabezpieczyć konta w rejestratorze domen kluczem sprzętowym i blokadą transferu domeny, a rekordy DNS monitorować pod kątem zmian. Użytkownicy giełd i portfeli krypto powinni odrzucać każde nieoczekiwane żądanie podpisu transakcji, korzystać z portfela sprzętowego i nie trzymać wszystkich środków na jednej platformie.
Podsumowanie
Bezpieczeństwo serwisu jest tak mocne, jak najsłabszy z zewnętrznych elementów, które ładuje. Jedna przejęta domena wystarczyła, by w kilkadziesiąt minut opróżnić setki portfeli bez łamania jakichkolwiek haseł.
źródło: https://thehackernews.com/2026/11/hackers-steal-about-27-million-from.html