مهاجمون يسرقون 2.7 مليون دولار من متداولي بوليماركت عبر كود خبيث

Concentric rings of blue and purple liquid paint swirling against a black background — Pawel Czerwinski / Unsplash

قام مهاجمون بسرقة أموال من بعض المتداولين المسجلين في منصة سوق التنبؤات بوليماركت في 29 أكتوبر، حيث باع الكود الخبيث مواقعهم التجارية ونقل أموالهم إلى محافظ المهاجمين. استغل المهاجمون كوداً استبدل سكريبت سرعة الصفحة الذي كانت الموقع يحمل من شركة خارجية.

أعلنت بوليماركت أنها تعيد حوالي 2.7 مليون دولار إلى 726 محفظة متضررة. تظهر سجلات البلوكشين أن عملة مشفرة بقيمة حوالي 2.64 مليون دولار وصلت إلى محفظة المهاجمين في أقل من ساعة واحدة. جاء السكريبت المستبدل من شركة ديبج بير، التي تقدم أداة مراقبة المستخدم الحقيقية لقياس سرعة تحميل صفحات الويب للزوار الفعليين.

قام باحثون من هادسون روك بتحميل الملف الخبيث في 29 أكتوبر من العنوان الذي استخدمته بوليماركت لتحميل سكريبت ديبج بير. كما وجدوا تغييراً في كود موقع بوليماركت أزال سكريبت ديبج بير. ذكرت ديبج بير أن سجلات نظام أسماء النطاقات الخاصة بها تعرضت للاختراق عبر مسجل النطاقات الخاص بها، وتشير نتائجها المبكرة إلى أن الهجوم استهدف موقع عميل واحد فقط دون وجود دليل على اختراق أنظمتها الخاصة.

وجد باحثون من أوهاي خادمًا مختلفًا يجيب على عناوين ويب ديبج بير في الساعة 18:13 بتوقيت تنسيق الوقت العالمي، بينما كان الملف الخبيث لا يزال متاحًا. في وقت سابق من ذلك اليوم، تم تقديم السكريبت العادي من خدمة جوجل كلاود ستورج. يحمل كل عميل لديبج بير نسخته الخاصة من السكريبت، والملف الذي تم استبداله كان خاصًا ببوليماركت.

أعاد الكود استخدام صلاحية الوصول التي يمتلكها متداول مسجل بالفعل في صفحة بوليماركت المفتوحة، وقراءة تفاصيل الحساب بما في ذلك مفاتيح واجهة برمجة التطبيقات. لا يمكن لهذه المفاتيح وحدها تقديم طلب، لأن الطلبات تحتاج أيضًا إلى توقيع محفظة. لم يجد هادسون روك أي جزء من الكود يرسل المفاتيح أو كلمة المرور أو العبارة البذرية أو المفتاح الخاص إلى الخادم.

بدلاً من ذلك، يبحث الكود عن الجزء من موقع بوليماركت الذي يقدم الطلبات، وعن الموقع الذي يوافق على معاملات الحساب. ثم يتبع أحد المسارين. للحسابات التي تسجل الدخول بمحفظة مشفرة، ينقل الكود مواقع المتداول مباشرة إلى محفظة المهاجمين. للحسابات التي تسجل الدخول عبر البريد الإلكتروني، يبيع الكود المواقع بأسعار أسوأ ثم ينقل المال.

في كلا المسارين، يطلب الكود من موقع الحساب توقيع طلباته ويسلمها إلى وسيط بوليماركت. قال هادسون روك إن طلب التوقيع وحده لا يثبت أن المتداول وقع دون رؤية مطالبة. قد لا يزال مزود المحفظة يطلب من المتداول أو يرفض أو يطبق قواعده الخاصة.

تلقت المحفظة المكتوبة في الكود أموالها الأولى في الساعة 17:10 وأخبرتها في الساعة 18:02 بتوقيت تنسيق الوقت العالمي، وفقًا لتتبع البلوكشين من أوهاي. في ذلك الوقت، جمعت 28.6 مليون رمز بول ومواقع من 33 محفظة. في الساعة 18:19، كانت هذه الرموز تساوي حوالي 2.64 مليون دولار. أرسلت المحفظة جميع الرموز إلى ثلاث عناوين أخرى بين الساعة 18:28 و18:38.

نشرت بوليماركت تحديثها الأول عن النشاط غير المصرح به في الساعة 17:38. في الساعة 18:05، قالت إن تبادلها في وضع الإلغاء فقط. قالت الشركة إنها أزلت السكريبت في غضون ساعة، ومسحت كل ذاكرة التخزين المؤقت، وأوقفت التداول حتى تم تنظيف الموقع. بحلول 30 أكتوبر، تم رد 689 من 726 محفظة بالكامل. بوليماركت تدفع أيضًا 1.19 مليون دولار إلى حوالي 5500 محفظة. في المجموع، تعيد 3.9 مليون دولار للمتداولين.

أخبرت ديبج بير عملاء منتجها بإزالة كود التضمين من مواقعهم. العنوان الذي قدم الملف الخبيث لم يكن لديه سجل نظام أسماء النطاقات عندما تحقق الصحفيون في 1 نوفمبر. قالت بوليماركت إنها تضع سكريبتات الجهات الخارجية مرة أخرى مع فحوصات إضافية، مثل سياسة أمان المحتوى الأقوى، والإصدارات المثبتة، والعزل. نصيحة هادسون روك للمتداولين هي رفض أي طلب توقيع لم يتوقعوه.