DebugBear'ın ele geçirilen scripti DNS ihlali sonrası Polymarket kullanıcılarından 2,7 milyon doları boşalttı

Web performans şirketi DebugBear'deki bir DNS ihlali, 29 Ekim'de Polymarket'in web sitesine saldırgan kontrolündeki JavaScript yerleştirdi ve kötü niyetli kod, oturum açmış kullanıcıların mevcut erişimlerini kullanarak yaklaşık 2,7 milyon doları boşalttı. dev.to'da yeniden yayınlanan bir RedEye Threat Intelligence raporuna göre Polymarket, etkilenen 726 cüzdanı tazmin ediyor ve zincir üstü kayıtlar, saldırganların cüzdanına bir saatten kısa sürede yaklaşık 2,64 milyon dolar değerinde POL ulaştığını gösteriyor.

Script nasıl değiştirildi

DebugBear, X hesabından yaptığı açıklamada DNS kayıtlarının domain kayıt firması üzerinden ele geçirildiğini duyurdu. Şirketin ön bulguları, saldırının tek bir müşterinin sitesini hedeflediğine işaret ediyor ve şirket, kendi iç sistemlerinde bir ihlal olduğuna dair kanıt bulamamış olsa da bu soruşturma sürüyor. Bu bulgu doğrulanırsa, saldırganların sağlayıcının sunucularına erişmesine hiç gerek kalmadı — domain'in nereyi gösterdiğinin kontrolü, kodlarını müşterinin sayfasına yerleştirmek için yeterliydi.

Ohey'deki araştırmacılar, UTC ile 18:13'te DebugBear'ın web adreslerine farklı bir sunucunun yanıt verdiğini ve kötü niyetli dosyanın hâlâ sunulduğunu gözlemledi. Aynı günün ilerleyen saatlerinde ise gerçek script Google Cloud Storage üzerinden geliyordu. Her DebugBear müşterisi scriptin kendi kopyasını yükler ve değiştirilen dosya Polymarket'e aitti.

Kod ne yaptı

Hudson Rock, dosyayı çalıştırmadan inceledi ve API anahtarları, parolalar, seed phrase veya private key dışarı sızdıran hiçbir şey bulamadı. Bunun yerine script, güvenilen bir sayfanın içinden çalıştı. Polymarket'in tarayıcıda sakladığı hesap verilerini okudu; bunlara bir dizi işlem API anahtarı da dahildi — ancak bu anahtarlar tek başına emir veremez, çünkü emirler ayrıca bir cüzdan imzası gerektirir. Kod daha sonra emir veren sayfa bileşenini ve hesabın işlemlerini onaylayan signer'ı buldu ve iki yoldan birini izledi: kendi kripto cüzdanıyla oturum açan hesaplarda pozisyonları doğrudan saldırganların adresine taşıdı; e-posta tabanlı hesaplarda ise pozisyonları giderek kötüleşen fiyatlardan sattıktan sonra gelirleri dışarı çıkardı.

Her istek, hesabın kendi signer'ı tarafından imzalanıp Polymarket'in relayer'ına teslim edildi; böylece aşağı katmandaki sistemler, trafiği herhangi bir meşru emir gibi gördü. Hudson Rock, tek başına bir imzalama isteğinin kullanıcının sessizce bir şeyi onayladığını kanıtlamadığı konusunda uyarıyor — cüzdan sağlayıcısı kullanıcıya yine de bir istem göstermiş, reddetmiş veya kendi oturum kurallarını uygulamış olabilir ve mevcut raporlar, istem olmadan kaç imzanın tamamlanmış olabileceğini (eğer varsa) belirleyemiyor.

Zincir üstü zaman çizelgesi

Ohey'nin blockchain analizi ve Polymarket'in durum güncellemeleri, tamamı UTC olmak üzere sıkı bir sıralama veriyor. Saldırganların cüzdanı ilk fonlarını 17:10'da aldı; Polymarket yetkisiz cüzdan etkinliği hakkında 17:38'de gönderi yaptı; son gelen fon 18:02'de ulaştı; borsa 18:05'te relayer işlemleri duraklatılarak yalnızca iptal moduna geçti; ve 18:19 itibarıyla cüzdan, DefiPrime'ın hesaplamasına göre DefiLlama'nın 0,0922 dolarlık fiyatıyla yaklaşık 2,64 milyon dolar değerinde 28,6 milyon POL tutuyordu. 18:28 ile 18:38 arasında fonlar diğer üç adrese aktarıldı.

Rakamlar tam olarak örtüşmüyor. Ohey'nin analizi cüzdanın 33 cüzdandan POL ve pozisyon topladığını gösterirken, Polymarket etkilenen cüzdan sayısını 726 olarak açıklıyor ve raporlar bu iki sayıyı uzlaştırmıyor. 2,64 milyon dolarlık rakam da yalnızca POL token'larını kapsıyor; cüzdanın topladığı pozisyonları içermiyor. Ayrıca dikkat çekici olan, son gelen fonun relayer duraklatmasının duyurulmasından üç dakika önce ulaşmış olması; yani duraklatma, salt zamanlama açısından hırsızlığı sona erdirmekle tazmin edilemez.

Yanıt ve iadeler

Polymarket, scripti saat içinde kaldırdığını, önbellekleri temizlediğini, tüm aktif oturumları sıfırladığını, site temizlenene kadar işlemeyi duraklattığını ve olayı kolluk kuvvetlerine bildirdiğini duyurdu. 30 Ekim itibarıyla 726 cüzdanın 689'u — yaklaşık yüzde 95'i — eksiksiz tazmin edilmiş durumda; kalan 37 cüzdan ise kontrolleri yapıldıkça ödendi. İşlem duraklaması sırasında para kaybeden veya pozisyonları alınan yaklaşık 5.500 cüzdana ayrıca 1,19 milyon dolar daha gidiyor ve iade edilen toplam tutar 3,9 milyon dolara ulaşıyor. Kullanıcıların başvuru yapmasına gerek yok.

DebugBear, real user monitoring ürününün müşterilerine embed kodlarını sitelerinden kaldırmalarını söyledi ve The Hacker News, kötü niyetli dosyayı sunan adres olan cdn.debugbear.com'in 1 Kasım itibarıyla bir DNS kaydı olmadığını tespit etti. Polymarket, üçüncü taraf scriptleri daha sıkı bir Content Security Policy, sabitlenmiş sürümler ve sandboxing ile yeniden kullanıma sunuyor — Hudson Rock'un analizinin somutlaştırdığı önlemler: güvenilen bir CDN'e izin veren bir CSP, o CDN'in ne servis ettiğini kontrol etmez ve Subresource Integrity yalnızca bir dosyanın sabitlenebildiği yerlerde işe yarar.

Neden önemli

Bu, kurbanın kod tabanına hiç dokunmayan bir üçüncü taraf script tedarik zinciri olayı. Güven yolu bir kayıt firması ve bir DNS kaydından geçti; ikisi de Polymarket'in altyapısının içinde değil ve payload, çalışan bir işlem oturumunun bulunduğu, signer'ın erişim menzilindeki sayfada çalıştığı için çalınmış kimlik bilgisine ihtiyaç duymadı. Kimlik doğrulaması yapılmış sayfalarda — özellikle kullanıcıların işlem imzaladığı veya ödeme onayladığı sayfalarda — dış kod yükleyen her site aynı riskle karşı karşıya. Pratik dersler ise işlem sayfalarındaki üçüncü taraf scriptleri en aza indirmek, sabitlenebilenleri sabitlemek ve beklenmeyen her imzalama isteğini kırmızı bayrak olarak görmek. Ayrıca açık sorular da var: DebugBear'ın tek müşteri bulgusu ön nitelikte ve iki şirket de saldırganları kamuya açık şekilde teşhis etmiş değil.