Tin tặc xâm nhập website Polymarket qua nhà cung cấp bên thứ ba, đánh cắp khoảng 3 triệu USD từ chưa đến 15 tài khoản người dùng.
Polymarket, nền tảng thị trường dự đoán hàng đầu thế giới, vừa thông báo đang hoàn tiền đầy đủ cho khách hàng bị ảnh hưởng sau khi một trong các nhà cung cấp bên thứ ba của công ty bị tấn công vào thứ Năm, khiến website của nền tảng dễ bị khai thác.
Công ty cho biết trong một bài đăng trên X rằng cuộc tấn công đã cho phép tin tặc chèn mã độc vào giao diện người dùng, qua đó chiếm đoạt khoảng 3 triệu USD tiền của khách hàng. Polymarket từ chối bình luận cụ thể khi được Decrypt liên hệ và không công khai danh tính nhà cung cấp bị xâm phạm.
Theo các nhà điều tra trên chuỗi tại Bubblemaps, thiệt hại tiềm tàng từ vụ tấn công phần lớn đã được kiểm soát, với chưa đến 15 tài khoản người dùng bị ảnh hưởng. Bubblemaps chưa phản hồi ngay yêu cầu bình luận từ Decrypt.
Về phía mình, Polymarket khẳng định vấn đề ở giao diện người dùng đã được kiểm soát và loại bỏ, song hiện vẫn chưa rõ nền tảng này sẽ triển khai biện pháp nào để ngăn ngừa các vụ khai thác tương tự trong tương lai, trong bối cảnh công ty phụ thuộc vào nhiều doanh nghiệp bên ngoài có liên quan trực tiếp đến hoạt động vận hành website.
Dòng tiền bị đánh cắp và tiền lệ tấn công trước đó
Theo dữ liệu trên chuỗi, các đối tượng tấn công đã rút tiền khỏi ví khách hàng chứa pUSD, một stablecoin neo theo USD dành riêng cho Polymarket, được bảo chứng bằng USDC và dùng để hỗ trợ toàn bộ hoạt động giao dịch trên nền tảng. Số tiền bị đánh cắp sau đó được chuyển đổi sang ETH và gom vào một ví Ethereum duy nhất, nơi vẫn đang lưu giữ số tài sản này tại thời điểm bài viết.
Đây không phải lần đầu Polymarket hứng chịu sự cố an ninh trong thời gian ngắn. Tháng trước, nền tảng từng bị tấn công vào một ví được nhân viên công ty sử dụng để nạp tiền và chi trả phần thưởng cho người dùng, gây thiệt hại khoảng 700.000 USD, nhiều khả năng xuất phát từ việc khóa riêng tư bị xâm phạm. Tại thời điểm đó, các chuyên gia nhận định vụ việc dường như không ảnh hưởng đến hạ tầng cốt lõi của công ty hay tạo ra rủi ro lan rộng.
Tuy nhiên, cả hai sự cố liên tiếp đều cho thấy một lỗ hổng chung: tin tặc có thể xâm nhập các công ty công nghệ tài chính lớn thông qua những điểm ngoại vi như nhà cung cấp bên thứ ba hay ví vận hành nội bộ, ngay cả khi các giao thức blockchain lõi vẫn được bảo đảm an toàn.
