Polymarket-hack loopt op tot 3,1 miljoen dollar ondanks beloofde volledige terugbetalingen
De aanval trof 11 accounts via een phishingcampagne en een besmette leverancier; Polymarket zegt de kwetsbaarheid te hebben verholpen en PUSD-terugbetalingen te regelen.
Korte samenvatting
- Polymarket werd getroffen door een hack waarbij naar schatting 3,1 miljoen dollar aan PUSD-tokens van 11 gebruikersaccounts werd gestolen.
- De aanval begon via een phishingcampagne en een gecompromitteerde leverancier die kwaadaardige code in de frontend van het platform injecteerde.
- Polymarket zegt de kwetsbaarheid te hebben verholpen en belooft getroffen gebruikers volledige terugbetaling in PUSD.
Polymarket, het gedecentraliseerde prediction markets-platform, is recentelijk getroffen door een grootschalige hack waarbij naar schatting 3,1 miljoen dollar aan PUSD-tokens van gebruikers werd gestolen. De aanvallers maakten gebruik van een phishing-campagne die gericht was op 11 gebruikersaccounts, waarbij de gestolen activa via Polygon werden overgezet naar Ethereum.
Details van de aanval en reactie van Polymarket
De aanval werd ontdekt toen een derde partij, die een leverancier was van Polymarket, werd gecompromitteerd en een kwaadaardig script injecteerde in de frontend van het platform voor sommige gebruikers. Polymarket heeft deze kwetsbaarheid inmiddels aangepakt door de getroffen afhankelijkheid te verwijderen en de getroffen gebruikers te benaderen met de belofte van volledige terugbetaling in PUSD, het native token dat wordt gebruikt voor alle transacties op het platform.
Blockchainbeveiligingsbedrijf PeckShield meldde dat de aanvallers een phishing-campagne voerden die leidde tot de initiële diefstal van ongeveer 1.893 ETH, wat overeenkomt met een bedrag van bijna 3 miljoen dollar. De omvang van het verlies werd later door AMLBot bijgesteld naar 3,1 miljoen dollar. Een van de slachtoffers deelde zijn ervaring op sociale media, waarbij hij aangaf dat zijn wallet werd gehackt zonder dat hij begreep hoe dat kon gebeuren.
Recente beveiligingsproblemen en onderzoek
Deze hack is niet het eerste beveiligingsprobleem voor Polymarket. In maart werd melding gemaakt van een mogelijke beveiligingsinbreuk waarbij meer dan 520.000 dollar werd onttrokken uit twee smart contracts op de Polygon-blockchain. Destijds stelde Polymarket dat de fondsen veilig waren. Eerder, in december, meldde het platform een beveiligingsincident via hun Discord-kanaal, waarbij gebruikers melding maakten van verdwenen fondsen en verdachte inlogpogingen. Die problemen werden toegeschreven aan een derde partij die login-diensten leverde.
Tegelijkertijd ligt Polymarket onder een federale loep na berichtgeving over misleidende marketingpraktijken op sociale media, waarbij gebruikers met winst werden geprofileerd. Dit onderzoek volgt op eerdere boetes en beperkingen, zoals een boete van 1,4 miljoen dollar van de Amerikaanse Commodity Futures Trading Commission (CFTC) in 2022 vanwege het aanbieden van binaire contracten zonder de juiste vergunningen.
Relevantie voor Europese cryptogebruikers
Hoewel Polymarket recentelijk terugkeerde op de Amerikaanse markt via een overname van een CFTC-gelicentieerde beurs, blijft het platform internationaal onder druk staan. In diverse landen, waaronder Frankrijk, Brazilië en India, is Polymarket verboden vanwege zorgen over naleving van gok- en weddenschapswetten. Voor Europese cryptogebruikers onderstreept deze hack het belang van waakzaamheid bij het gebruik van gedecentraliseerde platforms en het risico van phishing-aanvallen, zeker in een markt waar regulering en beveiliging nog volop in ontwikkeling zijn. Dat past in een bredere trend waarin aanvallen vaker via menselijke en operationele zwaktes verlopen dan via een fout in de code, zoals ook blijkt uit crypto beveiliging vereist meer dan alleen audits om verliezen te voorkomen.
