Polymarket sẽ hoàn tiền cho người dùng bị ảnh hưởng sau một vụ tấn công phishing liên quan đến mã độc được chèn qua nhà cung cấp bên thứ ba.
Sự cố này được ước tính làm thất thoát gần 3 triệu USD và hiện chưa cho thấy ảnh hưởng đến smart contract cốt lõi của nền tảng. Polymarket nói đã gỡ phần phụ thuộc bị ảnh hưởng, khoanh vùng sự việc và đang liên hệ trực tiếp với người dùng bị tác động.
- Một nhà cung cấp bên thứ ba bị xâm nhập đã chèn mã độc vào frontend của Polymarket.
- Nhà nghiên cứu bảo mật ước tính kẻ tấn công đã rút gần 3 triệu USD từ hơn 11 ví.
- Polymarket cho biết sẽ bồi hoàn toàn bộ cho người dùng bị ảnh hưởng và chưa công bố báo cáo kỹ thuật chi tiết.
Sự cố bắt nguồn từ frontend, không phải smart contract
Polymarket là nền tảng prediction market bị ảnh hưởng bởi một nhà cung cấp bên thứ ba bị xâm nhập, dẫn đến việc mã độc được đưa vào một phần frontend. Hiện chưa có dấu hiệu cho thấy hợp đồng thông minh của nền tảng bị khai thác.
Trong thông báo ngày 25/6, Polymarket cho biết đã phát hiện nhà cung cấp bị xâm nhập trong ngày, gỡ bỏ phần phụ thuộc liên quan và kiểm soát được sự cố. Công ty chưa nêu danh tính nhà cung cấp này và cũng chưa công bố báo cáo kỹ thuật đầy đủ.
Thiệt hại được ước tính gần 3 triệu USD
PeckShield cho biết vụ việc giống một chiến dịch phishing nhắm vào người dùng Polymarket. Nhóm nghiên cứu ước tính kẻ tấn công đã rút khoảng 3 triệu USD giá trị PUSD từ hơn 11 ví nạn nhân.
Theo các phân tích này, số tiền bị đánh cắp đã được chuyển từ Polygon sang Ethereum trước khi bị đổi sang khoảng 1.893 ETH. Polymarket chưa xác nhận công khai con số thiệt hại hoặc số ví bị ảnh hưởng.
Polymarket sẽ bồi hoàn người dùng bị ảnh hưởng
Polymarket cho biết sẽ hoàn trả toàn bộ cho những người dùng bị tác động bởi vụ tấn công. Công ty đang liên hệ trực tiếp với các tài khoản liên quan trong lúc tiếp tục điều tra.
Hiện chưa có thời hạn cụ thể cho quy trình bồi hoàn hoặc thời điểm công bố báo cáo sự cố hoàn chỉnh. Với người dùng, điểm cần theo dõi là phạm vi ảnh hưởng thực tế và cách nền tảng xử lý phần bồi hoàn sau khi điều tra kết thúc.
Tổng kết
Vụ việc cho thấy rủi ro từ chuỗi cung ứng bên thứ ba có thể ảnh hưởng đến người dùng ngay cả khi smart contract không bị tấn công trực tiếp. Polymarket đang khoanh vùng sự cố, trong khi thiệt hại ban đầu được ước tính ở mức gần 3 triệu USD.
