Giovedì 29 ottobre Polymarket ha messo l'exchange in modalità cancel-only e sospeso le azioni del relayer, dopo che alcuni utenti hanno segnalato fondi in uscita dai loro conti senza autorizzazione. In seguito l'azienda ha confermato che uno dei suoi fornitori terzi era stato compromesso e ha dichiarato che tutti gli utenti coinvolti saranno risarciti.
Cronologia dell'incidente
Secondo lo storico della pagina di stato di Polymarket, l'intero episodio, dalla prima segnalazione alla risoluzione, è durato un'ora.
Ora (UTC) | Stato | Messaggio |
|---|---|---|
18:05 | In verifica | Exchange in modalità cancel-only, azioni del relayer sospese |
18:37 | Individuato | Problema risolto; fornitore terzo compromesso, caso segnalato alle forze dell'ordine |
18:55 | Monitoraggio | Trading in ripresa intorno alle 15:00 ET |
19:05 | Risolto | Incidente classificato come risolto |
Nell'aggiornamento delle 18:37 Polymarket ha spiegato che il problema riguardava la piattaforma internazionale, Polymarket.com, e che il trading è stato fermato "per eccesso di cautela". Lo stesso comunicato è stato pubblicato su X.
Lo script che ha svuotato i conti
I ricercatori di Hudson Rock hanno scaricato cdn.debugbear.com/C7xcKKrjUnXK.js alle 18:12:06 UTC e hanno trovato un payload da 15.187 byte con una logica per svuotare i wallet, secondo la loro analisi pubblicata. DebugBear è un servizio di monitoraggio delle prestazioni web.
L'analisi non ha trovato alcuna routine che invii chiavi private, password o seed phrase all'attaccante. Lo script sfruttava invece i permessi della sessione già autenticata nel browser:
- Leggeva le voci di local storage polymarket.auth.params, polymarket.auth.proxyWallet e poly_clob_api_key_map
- Esplorava i componenti interni di React per trovare il client di trading attivo, cercando metodi come postOrder e createOrder
- Calcolava il valore del portafoglio e applicava soglie di 10 per il valore totale e di 10 per ogni posizione
- Account EOA: costruiva un trasferimento in batch ERC-1155 dei token delle posizioni verso il destinatario
- Account Magic: inviava ordini di vendita a prezzi sempre più aggressivi, poi trasferiva i proventi
- Inviava a data.debugbear.com indirizzo del wallet, IP, paese, valore del portafoglio ed esiti dei trasferimenti
Il codice di produzione di Polymarket contiene il messaggio di build "chore(polymarket): remove debugbear rum script (#15337)" con timestamp 17:59:20 UTC. Hudson Rock precisa che il timestamp di una build non indica il momento esatto del rilascio.
Perdite segnalate e indirizzo destinatario
Il trader Car (@CarOnPolymarket) ha dichiarato che dal suo conto sono stati sottratti 800.000 $ e che tutte le sue posizioni sono state vendute. La cifra è la segnalazione dell'utente e non è stata verificata on-chain da Hudson Rock.
L'indirizzo 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, scritto nello script come destinatario di riserva, mostrava questi saldi su PolygonScan al momento della rilevazione:
Asset | Valore |
|---|---|
POL | 2.178.191,78 $ |
Altri token | 16.170,39 $ |
Totale | circa 2,19 milioni di $ |
Hudson Rock precisa che il saldo non va sommato alla perdita di 800.000 $, perché le due cifre potrebbero sovrapporsi. Restano ignoti il numero di utenti coinvolti, le perdite complessive e il meccanismo della compromissione iniziale.
Cosa significa per te
Se durante l'incidente avevi Polymarket.com aperto con una sessione autenticata, Hudson Rock consiglia di chiudere le schede esposte e di controllare ordini recenti, movimenti delle posizioni e transazioni del wallet da una sessione pulita.
- Rifiuta qualsiasi richiesta di firma o di approvazione che non hai avviato tu
- Controlla le sessioni attive e le credenziali API seguendo le indicazioni del supporto della piattaforma
- Scollegare un wallet non annulla i trasferimenti già eseguiti né revoca le approvazioni on-chain
- Evita i link di "recupero" inviati da account sconosciuti e non condividere mai la tua seed phrase