Polymarket สูญเงินกว่า 2 ล้านดอลลาร์ หลังถูกโจมตีแบบ Supply Chain

Polymarket ระงับการซื้อขายบนแพลตฟอร์มระหว่างประเทศเมื่อวันที่ 29 ตุลาคมที่ผ่านมา หลังจากได้รับรายงานจากผู้ใช้เกี่ยวกับการถอนเงินโดยไม่ได้รับอนุญาต

อ้างอิงข้อมูลจาก status page ของตลาดพยากรณ์ (prediction market) แห่งนี้ ในเบื้องต้นทางแพลตฟอร์มได้เปลี่ยนสถานะเข้าสู่โหมด "ยกเลิกคำสั่งซื้อขายเท่านั้น" (cancel-only mode) พร้อมทั้งระงับการทำงานของระบบ relayer ทันที

"เราได้ระบุและแก้ไขปัญหาที่เกิดขึ้นกับ Polymarket.com ซึ่งเป็นแพลตฟอร์มระหว่างประเทศของเราแล้ว โดยพบว่าหนึ่งในผู้ให้บริการภายนอก (3rd party provider) ถูกบุกรุก ซึ่งเราได้ส่งเรื่องให้หน่วยงานบังคับใช้กฎหมายเรียบร้อยแล้ว ทั้งนี้ ผู้ที่ได้รับผลกระทบจะได้รับการชดเชยความเสียหายเต็มจำนวน" บริษัท กล่าว

ระบบกลับมาเปิดให้บริการอีกครั้งในเวลาประมาณหนึ่งชั่วโมงต่อมา โดย Polymarket ยืนยันจะชดเชยเงินคืนให้นักเทรดทุกคนที่เสียหาย อย่างไรก็ตาม บริษัทยังไม่ได้ระบุชื่อผู้ให้บริการต้นเหตุหรือเปิดเผยตัวเลขความเสียหายอย่างเป็นทางการในขณะนั้น

เหล่านักวิจัยพบว่าการโจรกรรมครั้งนี้เชื่อมโยงกับโค้ดอันตรายที่ส่งมาจาก DebugBear ซึ่งเป็นบริษัทตรวจสอบประสิทธิภาพเว็บไซต์ในสหราชอาณาจักร โดยมีรายงานว่าแพลตฟอร์ม Polymarket ในสหรัฐอเมริกาไม่ได้รับผลกระทบจากเหตุการณ์นี้

ทางด้าน DebugBear ยืนยัน ว่ากำลังเผชิญกับเหตุการณ์ด้านความมั่นคงปลอดภัย และแจ้งให้ผู้ใช้งานผลิตภัณฑ์ Real User Monitoring (RUM) นำโค้ด snippet ออกจากเว็บไซต์ทันที พร้อมทั้งเชิญผู้เชี่ยวชาญด้านการตอบสนองต่อเหตุการณ์ (incident responders) เข้ามาตรวจสอบแล้ว

จากการวิเคราะห์ของ Hudson Rock พบว่า JavaScript อันตรายที่ถูกดึงมาจากที่อยู่ของ DebugBear จะทำการค้นหาเครื่องมือการเทรดและพอร์ตโฟลิโอของผู้ใช้ที่ล็อกอินอยู่ จากนั้นจะพยายามขายสถานะการถือครอง (positions) และโอนเงินหรือส่ง position tokens ไปยังที่อยู่ที่แฮกเกอร์กำหนดไว้โดยตรง

"โค้ดดังกล่าวมีการอ่านข้อมูลระบุตัวตน (credential) แต่จากการตรวจสอบยังไม่พบกระบวนการที่ส่งรหัสผ่าน, seed phrase หรือ private key ออกไปยังปลายทางของแฮกเกอร์ วิธีการหลักคือการนำสิทธิอำนาจ (authority) ในแอปพลิเคชันที่ผ่านการยืนยันตัวตนแล้วมาใช้ซ้ำ" Hudson Rock กล่าว

นอกจากนี้ ยังมีการพบหลักฐานใน production build ของ Polymarket เวลา 17:59 UTC ว่ามีการถอนสคริปต์ของ DebugBear ออกไปแล้ว สำหรับตัวเลขความเสียหายยังมีความชัดเจนไม่ตรงกัน โดยภาพสกรีนช็อตที่ Hudson Rock ตรวจสอบพบเงินประมาณ 2.19 ล้านดอลลาร์ในที่อยู่สำรอง (fallback address) ที่ถูกฝังไว้ในโค้ด

ขณะที่ GoPlus บริษัทความมั่นคงปลอดภัยบล็อกเชน ระบุ ว่านี่คือการโจมตีแบบ supply chain และประเมินความเสียหายจากการวิเคราะห์บนเชน (on-chain analysis) ไว้ที่ประมาณ 2.71 ล้านดอลลาร์ โดยพบความเคลื่อนไหวผ่านกระเป๋าเงินฝาก 710 ใบ สอดคล้องกับ ข้อมูลจาก Arkham ที่พบกระเป๋าต้องสงสัยถือเงินอยู่ราว 2.65 ล้านดอลลาร์

ปัจจุบันยังไม่มีข้อมูลว่าสคริปต์ดังกล่าวถูกดัดแปลงด้วยวิธีใด หรือมีผู้ใช้ได้รับผลกระทบจำนวนเท่าใด รวมถึงยังไม่พบหลักฐานว่าลูกค้ารายอื่นของ DebugBear ตกเป็นเป้าหมายด้วยหรือไม่ โดยเหตุการณ์นี้เกิดขึ้นวันเดียวกับข่าวการแฮก Binance และเกิดขึ้นหลังจากที่ Polymarket เคยถูกบุกรุกผ่านบุคคลที่สามในลักษณะเดียวกันเมื่อเดือนมิถุนายนที่ผ่านมาซึ่งสูญเงินไปราว 3 ล้านดอลลาร์