Hackers Steal About $2.7 Million From Polymarket Traders via Hijacked DebugBear Script

Cier­tas cuen­tas de usua­rios co­nec­ta­dos en la pla­ta­for­ma de apues­tas Poly­mar­ket su­frie­ron la venta de sus po­si­cio­nes y el robo de sus fon­dos, los cua­les fue­ron trans­fe­ri­dos a los ata­can­tes. El in­ci­den­te ocu­rrió luego de que se in­tro­du­je­ra có­di­go ma­li­cio­so en el sitio web para re­em­pla­zar un script ex­terno de ve­lo­ci­dad de pá­gi­nas. Los re­gis­tros en la ca­de­na de blo­ques in­di­ca­ron que los fon­dos lle­ga­ron a la bi­lle­te­ra de los ci­ber­de­lin­cuen­tes en poco tiem­po, y la em­pre­sa afec­ta­da co­mu­ni­có que de­vol­ve­rá el di­ne­ro a las bi­lle­te­ras im­pac­ta­das.

El script ori­gi­nal que fue sus­ti­tui­do per­te­ne­cía a una he­rra­mien­ta ex­ter­na de mo­ni­to­reo uti­li­za­da para medir el ren­di­mien­to de carga de las pá­gi­nas web. Según lo in­ves­ti­ga­do, los re­gis­tros de do­mi­nio del pro­vee­dor ex­terno su­frie­ron una vul­ne­ra­ción a tra­vés de su re­gis­tra­dor, lo que per­mi­tió que un ser­vi­dor di­fe­ren­te res­pon­die­ra con el ar­chi­vo ma­li­cio­so que afec­tó es­pe­cí­fi­ca­men­te a Poly­mar­ket. El có­di­go ope­ra­ba apro­ve­chan­do el ac­ce­so que un co­mer­cian­te ya tenía abier­to en su se­sión, le­yen­do los de­ta­lles de la cuen­ta y las cla­ves de la API al­ma­ce­na­das en el na­ve­ga­dor, sin ne­ce­si­dad de trans­mi­tir cre­den­cia­les como con­tra­se­ñas o fra­ses se­mi­lla al ser­vi­dor de los ata­can­tes.

Para sus­traer los re­cur­sos, el có­di­go ma­li­cio­so in­ter­ac­tua­ba con las sec­cio­nes del sitio en­car­ga­das de co­lo­car ór­de­nes y apro­bar tran­sac­cio­nes. De­pen­dien­do de si la cuen­ta uti­li­za­ba una bi­lle­te­ra de crip­to­mo­ne­das pro­pia o ini­cio de se­sión por co­rreo elec­tró­ni­co, el pro­gra­ma trans­fe­ría di­rec­ta­men­te las po­si­cio­nes o las ven­día a pre­cios des­fa­vo­ra­bles para ex­traer el di­ne­ro, uti­li­zan­do el pro­pio fir­man­te de la cuen­ta para va­li­dar las so­li­ci­tu­des.