Скрипт мог использовать активные сессии пользователей Polymarket

JavaScript-файл по адресу cdn[.]debugbear[.]com/C7xcKKrjUnXK.js содержал код, способный использовать активную сессию Polymarket в браузере. Полезная нагрузка искала в приложении клиентские объекты, связанные с торговлей, анализировала портфель пользователя и пыталась продать его позиции или перевести активы. Также файл пытался получить доступ к учётным данным сессии и инициировать подписи кошелька. Точные пути авторизации и транзакций, задействованные при успешных хищениях, не установлены.

29 октября 2026 года в 18:12:06 UTC файл вернул ответ HTTP 200. Повторная загрузка в 18:13:04 UTC вернула побайтово идентичный JavaScript. Метаданные производственной сборки Polymarket фиксируют удаление интеграции DebugBear для мониторинга реальных пользователей в 17:59:20 UTC. Снимок главной страницы, сделанный в 18:12:06, не содержал ссылки на скрипт и не включал разрешение для DebugBear в политике безопасности содержимого (Content Security Policy). Это подтверждает удаление интеграции в наблюдаемой сборке, но не позволяет определить, когда началось раскрытие информации и оставались ли защищёнными сессии всех пользователей.

На скриншоте адрес резервного получателя полезной нагрузки связан со значительными активами на PolygonScan. Эти данные независимо не подтверждены и не доказывают факт кражи средств. Неизвестны количество затронутых пользователей, общий размер убытков, потоки транзакций от жертв к получателю, механизм первоначальной компрометации и личность атакующего. Доступные доказательства также не свидетельствуют о более широкой компрометации DebugBear или её клиентов.

Артефакт сборки с метаданными об удалении имеет хеш SHA-256 01c5bc78c4118115bd849ad34e3c42d7ff39479a0feb5b216b1e1ffdc02f853d.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.