Polymarket вернул $3.9 млн после взлома скрипта, покрыл убытки от паузы trades

3 мин

Polymarket опубликовал подробный отчет о компрометации платформы 29 октября: сторонний скрипт для мониторинга производительности был изменен, использовал некоторые активные сессии для продажи позиций и перемещения средств и привел к временной приостановке торговли и активности релэйера. Компания удалила скрипт, очистила кэши, сбросила сессии и переключила внимание на компенсации и улучшение контроля.

Возвраты и охват

Постмортем от 30 октября от Polymarket оценил общий объем возвратов в $3,9 млн: $2,7 млн связаны с атакой и $1,2 млн — с потерями из-за остановки торговли. Компания сообщила, что по состоянию на тот день днем 95% затронутых кошельков были полностью возмещены. Показатель 95% привязан ко времени и не должен рассматриваться как текущая доля завершения или как подтверждение того, что все споры решены.

Внеконторальный код сайта внутри финансового периметра

Сторонние скрипты исполняются, потому что сайт выбирает их загружать. В зависимости от прав и среды выполнения такой код может взаимодействовать с элементами страницы и активными сессиями, которые пользователи связывают с доверенным приложением. Одна из мер защиты описана в subresource integrity от Mozilla: браузер сверяет ресурс с ожидаемым хэшем и блокирует несоответствия. Это отделяет утвержденный файл от модифицированного, но не доказывает, что утвержденный код безопасен. Приложениям по-прежнему необходимы тщательная проверка обновлений и строгий контроль над тем, какие ресурсы могут выполняться.

Пауза в торговле создала вторичные убытки

Рынки с высокой чувствительностью ко времени могут накладывать убытки, не связанные с прямым опустошением кошельков. Позиции могут быть рассчитаны во время простоя или изменить стоимость до возобновления торговли. Для справедливой компенсации требуется определенная точка отсчета: конкретный временной штамп, размер позиции и единый метод оценки. Тонкая ликвидность в стрессовых условиях расширяет разрыв между отображаемыми котировками и исполнимыми ценами, что усиливает эффект вынужденных продаж.

Контроли и сверка

Удаление вредоносного файла закрыло непосредственный канал. Долговременная защита зависит от проверки будущих изменений кода, ограничения прав внешних скриптов и быстрого выявления необычной активности. Предотвращение попадания ненужных скриптов на чувствительные страницы отличается от обнаружения злоупотреблений после исполнения. Пользователи и контрагенты выигрывают от четкой сверки по завершенным возвратам и оставшимся спорам. Следующая оценка должна сосредоточиться на подтвержденных результатах компенсаций и эффективности обновленных контролей, без предположения, что одно лишь блокчейн-сеттлмент защищает пользователей от всех компонентов приложения, через которые они к нему обращаются.

Написано редакцией News Desk и отредактировано Samuel Rae.