Polymarket tạm dừng giao dịch sau báo cáo về các vụ rút tiền trái phép

Polymarket đã thu hẹp giao dịch xuống mức chỉ cho phép hủy lệnh và tạm ngừng hoạt động của relayer, sau khi người dùng báo cáo bị rút tiền trái phép. Người dùng cho biết phần giao diện (frontend) của thị trường dự đoán này có thể đã bị xâm nhập. Nền tảng đang điều tra sự cố an ninh. Trang trạng thái của Polymarket ghi nhận một sự cố gián đoạn nghiêm trọng ảnh hưởng tới API giao dịch. Nhà giao dịch vẫn có thể hủy các lệnh đã đặt nhưng không thể gửi lệnh mới. Hoạt động relayer — bộ phận đưa các giao dịch do người dùng ký lên blockchain — cũng đang bị tạm dừng. Một nhà giao dịch có tên CarOnPolymarket cho biết đã mất 800.000 USD vì các vụ rút tiền trái phép. Người này nói nhiều tài khoản khác cũng bị ảnh hưởng, trong đó một người bạn mất khoảng 600.000 USD, đồng thời kêu gọi người dùng bảo vệ tài khoản và tránh truy cập vào website. Dữ liệu của Arkham cho thấy ví 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 — được xác định thuộc về kẻ tấn công bị tình nghi — đang nắm khoảng 2,65 triệu USD token POL, token gốc của Polygon. Ví này gần đây nhận nhiều lần chuyển đổi USDC.e sang POL thông qua Relay, dịch vụ hoán đổi xuyên chuỗi. USDC.e là dạng cầu nối của stablecoin USDC. Các giao dịch đầu tiên xuất hiện khoảng một giờ trước; trong năm phút gần nhất ví không ghi nhận hoạt động nào. Nhóm nghiên cứu Hudson Rock cho biết một đoạn script được phân phối qua dịch vụ giám sát hiệu năng web DebugBear chứa mã nhắm vào phiên giao dịch của những người dùng đã đăng nhập. Đoạn mã này tìm cách bán vị thế của người dùng và chuyển số tài sản thu được, trong đó ví của kẻ tấn công bị tình nghi được gán cứng làm địa chỉ nhận dự phòng. Hudson Rock cũng cho biết mã nguồn website vận hành của Polymarket có ghi nhận việc gỡ bỏ đoạn script trên. Nhóm này chưa xác định được cách thức xâm nhập ban đầu cũng như số lượng người dùng bị ảnh hưởng. Polymarket chưa xác định nguyên nhân sự cố. Hồi tháng 5, một vụ lộ khóa cá nhân khiến khoảng 700.000 USD bị rút khỏi ví nạp tiền nội bộ. Một tháng sau, sự cố từ một nhà cung cấp bên thứ ba giúp tin tặc chèn mã độc vào frontend và đánh cắp khoảng 3 triệu USD từ chưa đầy 15 tài khoản. Polymarket cam kết hoàn tiền đầy đủ sau sự cố đó.