Tin tặc đánh cắp 2,7 triệu USD từ người dùng Polymarket qua script bị chiếm quyền điều khiển

Nền tảng thị trường dự báo Polymarket đã ghi nhận một vụ tấn công nghiêm trọng vào ngày 29/10, khi kẻ tấn công chèn mã độc vào website để chiếm đoạt tài sản của người dùng. Ước tính khoảng 2,7 triệu USD đã bị đánh cắp từ 726 ví điện tử của các nhà giao dịch.

Chi tiết vụ tấn công

Kẻ tấn công đã thực hiện một cuộc tấn công chuỗi cung ứng bằng cách thay thế một script đo lường hiệu năng trang web (Real User Monitoring – RUM) từ nhà cung cấp DebugBear. Theo thông tin từ DebugBear, hệ thống DNS của họ đã bị xâm nhập thông qua nhà đăng ký tên miền, cho phép kẻ gian thay thế script hợp lệ bằng một tệp tin chứa mã độc trên máy chủ của Polymarket.

Các nhà nghiên cứu tại Hudson Rock cho biết mã độc này không cần chạy trực tiếp trên máy người dùng mà lợi dụng các phiên làm việc (session) đang mở. Mã độc sẽ quét các chi tiết tài khoản, bao gồm API keys, và tìm kiếm các thành phần trên trang web chịu trách nhiệm thực hiện lệnh giao dịch. Sau đó, nó yêu cầu trình ký (signer) của người dùng phê duyệt các giao dịch chuyển tiền hoặc bán vị thế giao dịch với giá bất lợi, đẩy tài sản trực tiếp vào ví của kẻ tấn công.

Phản ứng từ Polymarket

Ngay khi phát hiện hoạt động bất thường, Polymarket đã gỡ bỏ script độc hại, xóa bộ nhớ đệm (cache), đặt lại toàn bộ phiên đăng nhập và tạm dừng giao dịch. Công ty đã nhanh chóng triển khai kế hoạch hoàn tiền cho 726 ví bị ảnh hưởng. Đến ngày 30/10, phần lớn các nạn nhân đã nhận được bồi thường đầy đủ. Tổng cộng, Polymarket dự kiến chi trả khoảng 3,9 triệu USD bao gồm cả các khoản bồi thường cho người dùng bị ảnh hưởng trong quá trình tạm dừng hệ thống.

Bài học về bảo mật cho các website

Vụ việc là lời cảnh tỉnh cho các doanh nghiệp trong việc quản lý mã nguồn bên thứ ba. Các chuyên gia bảo mật khuyến nghị:

Sử dụng Subresource Integrity (SRI): Cho phép trình duyệt xác thực tệp tin tải về từ CDN, từ chối thực thi nếu nội dung tệp bị thay đổi.
Hạn chế script bên thứ ba: Loại bỏ các mã không cần thiết trên các trang yêu cầu quyền ký giao dịch hoặc xử lý dữ liệu nhạy cảm.
Content Security Policy (CSP): Thiết lập chính sách bảo mật nội dung nghiêm ngặt để ngăn chặn việc tải mã từ các nguồn không xác định.
Kiểm soát quyền hạn: Thường xuyên rà soát các quyền mà mã bên thứ ba có thể yêu cầu đối với trình ký giao dịch của người dùng.

Đối với người dùng, lời khuyên quan trọng nhất là luôn cảnh giác và từ chối bất kỳ yêu cầu ký giao dịch (signing request) nào không nằm trong dự định hoặc không rõ nguồn gốc.

Nguồn tham khảo: The Hacker News