Вредоносная версия скрипта мониторинга переводила активы пользователей Polymarket
29 октября 2026 года с CDN DebugBear пользователям Polymarket передали вредоносную замену скрипта мониторинга реальных пользователей. Она выполнялась в сессиях авторизованных пользователей. В период с 17:10 до 18:11 UTC кошелёк получателя получил 28 636 284,45 POL, токены позиций в 36 транзакциях с 33 депозитных кошельков, а также 10 383,33 USDC.e и 6 320,69 USDC.
Скрипт начал выполняться после того, как источник стал недоступен в 16:54 UTC. Polymarket удалил его в 17:59 UTC. Функция JavaScript startdebugger размером 15 187 байт не содержала обфускации и была адаптирована для Polymarket. Она считывала ключи из хранилища сайта и API-ключи, а также находила торговый клиент, уже инициализированный на странице.
Вредоносная программа не содержала приватных ключей. Для авторизации переводов она использовала существующий торговый клиент Polymarket и подписант аккаунта, а затем отправляла переводы через ретранслятор Polymarket. Сначала скрипт пытался обменять средства аккаунта на POL через api.fun.xyz. В качестве резервных вариантов он использовал нативный USDC и прямые переводы USDC.e. Кроме того, скрипт переводил токены позиций пользователей.
Скрипт отправлял отчёты о своей активности на хост данных. Другие сервисы, с которыми он связывался, входили в список разрешений политики Content Security Policy Polymarket. Среди них были API и ретранслятор Polymarket, Alchemy RPC и сервисы обмена Fun.xyz. Настроенным получателем средств был адрес 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18.
Когда конечная точка конфигурации вернула ответ HTML 404, скрипт использовал значения по умолчанию. Они включали минимальный порог в 10 долларов США для аккаунта и каждой позиции, а также POL как актив для выплат. К 18:38 UTC получатель перенаправил активы: токены позиций отправил на отдельный кошелёк, а POL распределил между тремя кошельками.
Приведённые в отчёте доказательства указывают на то, что во время инцидента на запросы к именам хостов DebugBear отвечал другой сервер.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
