Polymarket נפגעה שוב: סקריפט ניטור של DebugBear הפך לכלי שמרוקן ארנקים
התוקפים השתלטו על סקריפט ניטור ביצועים שרץ באתר של Polymarket, ומכרו פוזיציות של משתמשים מחוברים. השיעור לכל בעל אתר: כל סקריפט חיצוני מקבל את אותן הרשאות כמו הקוד שלכם.
TL;DR בקצרה
- ב-29 באוקטובר עצרה Polymarket את המסחר אחרי שסקריפט זדוני רץ באתר שלה
- הסקריפט הגיע מהשרתים של DebugBear, שירות לניטור ביצועי אתרים
- לפי ניתוחי בלוקצ'יין, כ-2.5 מיליון דולר הגיעו לארנק של התוקף
- DebugBear ביקשה מכל לקוחות ה-RUM שלה להסיר את קוד ההטמעה מהאתרים
אתר ההימורים על תחזיות Polymarket עצר את המסחר ב-29 באוקטובר. הסיבה: קוד זדוני רץ בדפדפנים של המשתמשים שלו. הקוד הגיע דרך סקריפט של DebugBear, שירות חיצוני לניטור ביצועי אתרים. הוא מכר פוזיציות והעביר כספים מהחשבונות של הגולשים. זו הפעם השנייה בתוך ארבעה חודשים שספק חיצוני משמש פתח לגניבה מהאתר.
איך סקריפט של DebugBear הפך לכלי גניבה
DebugBear מוכרת כלי בשם RUM, ניטור של משתמשים אמיתיים. בעל האתר מטמיע בעמוד קוד JavaScript קצר, והוא אוספת נתוני מהירות מהדפדפנים של הגולשים. חברת המודיעין Hudson Rock זיהתה מה קרה באתר של Polymarket. הקוד הזדוני הגיע מהשרתים של DebugBear עצמה.
לפי הניתוח של BleepingComputer, הסקריפט בדק אם הגולש התחבר לחשבון. אם כן, הוא ניצל את החיבור הפעיל ובדק יתרות ופוזיציות. אחר כך הוא מכר אותן, או העביר אותן לארנק של התוקף. הוא גם קיבל הוראות ושלח נתונים לכתובת נוספת בדומיין של DebugBear.
ניתוח של האתר DeFi Prime מוסיף פרט מטריד. משתמשים שנכנסו עם כתובת מייל קיבלו ארנק מובנה, והסקריפט חתם בו על פעולות בשקט. משתמשים עם ארנק חיצוני ראו לפחות בקשת חתימה, כלומר הייתה להם הזדמנות לעצור.
כמה כסף יצא, ומה אמרו Polymarket ו-DebugBear
Polymarket לא מסרה את מספר הנפגעים או את הסכום הכולל. לפי ניתוחי בלוקצ'יין, כ-28.6 מיליון מטבעות POL הגיעו לארנק החשוד, כ-2.5 עד 2.6 מיליון דולר. החברה העבירה את המסחר למצב של ביטול הוראות בלבד, ואחרי כשעה חזרה לפעילות מלאה.
לפי Polymarket, תוקפים פרצו לאחד הספקים שלה, והיא פנתה לרשויות האכיפה. החברה גם התחייבה להחזיר את הכסף לכל הסוחרים שספגו נזק. DebugBear כתבה ב-X שהיא מתמודדת עם אירוע אבטחה מתמשך. לכן היא ביקשה מכל מי שמשתמש ב-RUM שלה להסיר את קוד ההטמעה מהאתר.
שאלות רבות עדיין פתוחות. DebugBear לא הסבירה איך התוקפים השיגו גישה לשרתים שלה. גם לא ברור אם לקוחות אחרים שלה קיבלו קוד זדוני. לפי DeFi Prime, התוקפים כתבו את הקוד הזה במיוחד עבור Polymarket.
הלקח מ-DebugBear לאתר שלכם
כל סקריפט חיצוני שאתם מטמיעים רץ באתר עם אותן הרשאות כמו הקוד שלכם. הוא רואה את הטפסים, את מצב ההתחברות ואת מה שהגולש מקליד. ברוב המקרים הסקריפט תמים. אבל אם תוקף משתלט על הספק, הוא מגיע לכל האתרים של הלקוחות שלו. הוא לא צריך לגעת בשרת שלכם בכלל.
באתרים ישראליים טיפוסיים יש לא מעט סקריפטים כאלה. למשל כלי ניתוח, צ'אט, פיקסלים של פרסום ותוספי נגישות שנטענים משרת חיצוני. רובם מגיעים דרך Google Tag Manager, ולכן קל לשכוח שהם בכלל קיימים.
גם התיקון של Polymarket מלמד משהו. החברה הסירה את הסקריפט ואת הדומיין של DebugBear ממדיניות האבטחה של הדפדפן, CSP. אבל לפי DeFi Prime, התיקון לא עזר למי שהדף כבר היה פתוח אצלו. הדפדפן שלו המשיך להריץ את הגרסה הישנה עד רענון.
מה זה אומר עבורכם
- משתמשים ב-RUM של DebugBear? הסירו את קוד ההטמעה עכשיו, גם מ-Google Tag Manager ומתוספים שמוסיפים אותו.
- בדקו ביומני השרת ובכלי ה-CDN בקשות לדומיינים cdn.debugbear.com ו-data.debugbear.com.
- עשו רשימה של כל הסקריפטים החיצוניים באתר. כל סקריפט שאף אחד לא צריך, מחקו.
- בעמודי תשלום, התחברות ואזור אישי, טענו רק את הסקריפטים ההכרחיים. שקלו מדיניות CSP שמגבילה מאילו דומיינים מותר לטעון קוד.
- יש לכם חשבון ב-Polymarket? בדקו את היסטוריית הפעולות מ-29 באוקטובר, והמתינו להנחיות החברה על ההחזר.
מה הלאה
כדאי לעקוב אחרי הדוח של DebugBear על אופן הפריצה, ואחרי השאלה אם התוקפים פגעו גם בלקוחות נוספים. בינתיים, זו תזכורת שהשרשרת חלשה כמו הספק הקטן ביותר שלה.
מקורות והרחבה
- Polymarket halts trading after crypto-draining script breach, $2.5M tracedBleepingComputer
- Polymarket Drained Again: A Hijacked Monitoring Script and $2.6M in POLDeFi Prime
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
