Фишинговая атака Polymarket: ущерб оценили в $3.1 млн

Оценка ущерба и детали инцидента

Блокчейн-аналитики из AMLBot представили первую подтвержденную ончейн-оценку потерь в результате фишинговой атаки на пользователей платформы прогнозов Polymarket. Сумма похищенных средств составила около $3.1 млн в стейблкоинах PUSD (Polymarket USD). Согласно отчету, активы были выведены с 11 кошельков. Thedefiant

Инцидент был классифицирован как атака на цепочку поставок (supply-chain attack). Этот тип атак направлен не на взлом смарт-контрактов самого протокола, а на компрометацию сторонних компонентов, интегрированных в его работу, например, элементов фронтенда или используемых библиотек.

Отслеживание похищенных активов

Анализ транзакций показал, что злоумышленники оперативно переместили украденные средства между сетями. Ончейн-исследователи, включая эксперта под псевдонимом Specter, проследили путь активов от кошельков пользователей до их консолидации и вывода.

Схема вывода средств включала несколько этапов:

1. Первоначальное хищение PUSD в сети Polygon, где функционирует Polymarket.
2. Последующий перевод активов в сеть Ethereum с использованием кроссчейн-мостов.

Перемещение в Ethereum является стандартной тактикой для злоумышленников. Эта сеть предлагает более высокую ликвидность и большее количество инструментов для сокрытия следов, таких как криптомиксеры или децентрализованные биржи с большим объемом торгов.

Риски атак на цепочку поставок в DeFi

Атаки на цепочку поставок представляют собой растущую угрозу для DeFi-экосистемы. В отличие от прямого взлома смарт-контрактов, они используют уязвимости в зависимостях проекта, что значительно усложняет их предотвращение и аудит.

Ключевые векторы таких атак включают:

• Компрометацию фронтенд-библиотек.
• Внедрение вредоносного кода в менеджеры пакетов (например, npm).
• Фишинг через скомпрометированные аккаунты разработчиков или официальные каналы коммуникации.

Инцидент с Polymarket подчеркивает необходимость комплексного подхода к безопасности. Проектам требуется не только аудит смарт-контрактов, но и строгая проверка всех интегрированных сторонних решений и поставщиков.