Polymarket คืนเงิน 3.9 ล้านดอลลาร์ หลังเหตุ DNS Hijack ที่ DebugBear

Polymarket แพลตฟอร์มตลาดพยากรณ์ชื่อดัง ประกาศคืนเงินรวม 3.9 ล้านดอลลาร์สหรัฐให้แก่ผู้ใช้งาน หลังเผชิญกับการโจมตีห่วงโซ่อุปทาน (supply chain attack) เมื่อสัปดาห์ที่ผ่านมา ขณะที่ DebugBear บริษัทตรวจสอบประสิทธิภาพเว็บไซต์ซึ่งเป็นต้นตอปัญหา ได้ออกมายืนยันว่าระเบียน DNS ของบริษัทถูกแทรกแซง

เหตุการณ์นี้เกิดขึ้นเมื่อวันที่ 29 ตุลาคม โดย Polymarket ต้อง ระงับการซื้อขาย บนแพลตฟอร์มระดับสากลทันทีหลังพบรายงานการถอนเงินที่ผิดปกติ ทางนักวิจัยจาก Hudson Rock ตรวจพบว่าต้นเหตุมาจาก JavaScript อันตรายที่ส่งมาจากที่อยู่ของ DebugBear ซึ่งเว็บไซต์ Polymarket เรียกใช้งาน

สคริปต์ดังกล่าวจะมุ่งเป้าไปที่เทรดเดอร์ที่กำลังล็อกอินอยู่ เพื่อตรวจสอบพอร์ตโฟลิโอและทำการเทขายสินทรัพย์หรือโอนออกไปยังวอลเล็ตของแฮกเกอร์ แม้จะพบการอ่านข้อมูลประจำตัว (credentials) ในเบราว์เซอร์ แต่ทาง Hudson Rock ระบุว่าไม่พบหลักฐานการขโมยรหัสผ่านหรือ private keys โดยตรง แต่เป็นการใช้สิทธิ์จากเซสชันการซื้อขายที่ยังเปิดค้างไว้

Polymarket รายงานความคืบหน้าเมื่อวันที่ 30 ตุลาคมว่า Polymarket กล่าวว่า มีวอลเล็ตได้รับผลกระทบรวม 726 ใบ ซึ่งส่วนใหญ่ได้รับการชดเชยแล้ว และเหลือเพียง 37 ใบที่อยู่ระหว่างการตรวจสอบขั้นสุดท้าย

นอกจากเงินที่ถูกขโมยไปโดยตรง 2.7 ล้านดอลลาร์แล้ว แพลตฟอร์มยังจ่ายเงินเพิ่มอีก 1.19 ล้านดอลลาร์ เพื่อชดเชยความเสียหายจากการระงับการซื้อขายหรือกรณีสินทรัพย์ถูกขายโดยไม่ได้รับอนุญาต ครอบคลุมวอลเล็ตประมาณ 5,500 ใบ รวมยอดจ่ายคืนทั้งหมด 3.9 ล้านดอลลาร์

ทางด้าน DebugBear ซึ่งให้บริการสคริปต์ real user monitoring (RUM) ได้เปิดเผย ผลการตรวจสอบเบื้องต้น ว่าระเบียน DNS server ถูกแทรกแซงผ่านทางผู้ให้บริการจดทะเบียนโดเมนเนม (domain registrar) ส่งผลให้บริษัทไม่สามารถรับอีเมลที่ส่งเข้าโดเมนได้ชั่วคราว

แม้การตรวจสอบจะพบว่าแฮกเกอร์มุ่งเป้าไปที่ลูกค้ารายหนึ่งเป็นหลัก แต่ DebugBear ยังไม่ได้ชี้แจงถึงวิธีการที่ผู้โจมตีเข้าถึงสิทธิ์ระดับผู้จดทะเบียนได้ ทั้งนี้บริษัทยืนยันว่าไม่พบร่องรอยการบุกรุกเข้าสู่ระบบภายใน และกำลังเร่งสืบสวนร่วมกับเจ้าหน้าที่รักษากฎหมายต่อไป