Polymarket bị tấn công chuỗi cung ứng: Hơn 2 triệu USD của nhà giao dịch bị rút sạch

Sàn dự đoán Polymarket vừa trải qua một sự cố an ninh nghiêm trọng khi hàng loạt người dùng phản ánh bị rút tiền trái phép. Sự việc được xác định xuất phát từ một cuộc tấn công chuỗi cung ứng nhắm vào công cụ giám sát hiệu năng website của bên thứ ba, khiến hơn 2 triệu USD của nhà giao dịch bị đánh cắp.

Giao diện và thương hiệu Polymarket

Diễn biến sự cố

Ngày 29/10, Polymarket buộc phải tạm dừng giao dịch trên nền tảng quốc tế sau khi người dùng báo cáo các giao dịch rút tiền không được phép. Theo trang trạng thái của sàn, hệ thống trước tiên được chuyển sang chế độ chỉ cho phép hủy lệnh, đồng thời tạm ngưng các hoạt động của relayer.

"Chúng tôi đã xác định và khắc phục một sự cố ảnh hưởng đến nền tảng quốc tế Polymarket.com. Một trong các nhà cung cấp bên thứ ba của chúng tôi đã bị xâm phạm, và chúng tôi đã chuyển vụ việc cho cơ quan thực thi pháp luật liên quan. Bất kỳ ai bị ảnh hưởng sẽ được bồi hoàn đầy đủ", công ty cho biết.

Giao dịch được khôi phục khoảng một giờ sau đó. Polymarket cam kết hoàn tiền cho toàn bộ nhà giao dịch bị ảnh hưởng nhưng không tiết lộ tên nhà cung cấp hay con số thiệt hại cụ thể. Nền tảng dành cho người dùng Mỹ được cho là không bị ảnh hưởng.

Thủ phạm: công cụ giám sát DebugBear

Các nhà nghiên cứu đã liên kết vụ trộm với đoạn mã độc được phục vụ từ DebugBear, một công ty giám sát hiệu năng website có trụ sở tại Anh. DebugBear xác nhận đang "bị ảnh hưởng bởi một sự cố an ninh đang diễn ra" và kêu gọi người dùng sản phẩm giám sát người dùng thực (RUM) gỡ bỏ đoạn mã nhúng của họ khỏi website. Công ty cũng cho biết đã huy động đội ứng cứu sự cố chuyên biệt.

Công ty bảo mật Hudson Rock đã thu được bản sao đoạn JavaScript độc hại từ một địa chỉ DebugBear mà Polymarket sử dụng. Đoạn mã này truy tìm công cụ giao dịch và danh mục đầu tư của người dùng đang đăng nhập. Tùy loại tài khoản, nó sẽ cố bán các vị thế rồi chuyển tiền thu được, hoặc gửi thẳng token vị thế đến địa chỉ do kẻ tấn công định sẵn.

"Mẫu mã này đọc các dữ liệu liên quan đến thông tin xác thực, nhưng quá trình phân tích của chúng tôi không phát hiện đoạn nào gửi bản đồ thông tin xác thực, mật khẩu, cụm từ khôi phục hay khóa riêng tư đến điểm cuối báo cáo. Cách tiếp cận cốt lõi của nó là tận dụng quyền hạn vốn đã có sẵn trong ứng dụng đã được xác thực", Hudson Rock cho biết.

Nhóm nghiên cứu cũng phát hiện một bản build production của Polymarket, được đánh dấu thời gian 17:59 UTC, với ghi chú thay đổi về việc loại bỏ script DebugBear.

Thiệt hại và quy mô vụ tấn công

Các con số thiệt hại không thống nhất. Một ảnh chụp màn hình mà Hudson Rock xem xét cho thấy khoảng 2,19 triệu USD nằm tại địa chỉ dự phòng được mã hóa cứng trong script, dù công ty khẳng định đây chưa phải con số đã được xác minh.

Hãng bảo mật blockchain GoPlus, cũng quy kết vụ tấn công cho sự xâm phạm chuỗi cung ứng đối với script RUM của DebugBear, ước tính thiệt hại khoảng 2,71 triệu USD. Phân tích on-chain của họ cho thấy đường tấn công chính đi qua 710 ví nạp tiền và 731 địa chỉ, tuy nhiên số địa chỉ không tương đương với số nạn nhân.

Dữ liệu từ Arkham cho thấy một ví bị nghi là của kẻ tấn công đang nắm giữ khoảng 2,65 triệu USD — cũng chính là địa chỉ được mã hóa cứng làm nơi nhận dự phòng trong script.

Hudson Rock chưa xác định được script bị can thiệp như thế nào hay có bao nhiêu người dùng bị ảnh hưởng. Các phát hiện của họ cũng không cho thấy những khách hàng khác của DebugBear bị nhắm mục tiêu.

Bối cảnh đáng lo ngại

Vụ việc xảy ra cùng ngày Binance bị tấn công với thiệt hại khoảng 6 tỷ USD — sự cố mà các hãng tình báo blockchain quy cho Triều Tiên. Đáng chú ý, hồi tháng 6, Polymarket từng công bố một vụ xâm phạm bên thứ ba khác đã chèn script độc hại vào frontend của mình, với thiệt hại được báo cáo khoảng 3 triệu USD.

Minh họa an ninh mạng

Chuỗi sự cố lặp lại này cho thấy rủi ro ngày càng lớn từ tấn công chuỗi cung ứng phần mềm — khi kẻ tấn công không cần xâm nhập trực tiếp vào hệ thống của nạn nhân mà chỉ cần chiếm một mắt xích nhỏ trong chuỗi nhà cung cấp dịch vụ. Với các nền tảng tài chính và tiền mã hóa, đây là mối đe dọa đặc biệt nguy hiểm vì chúng nắm giữ tài sản có thể chuyển đi tức thời.

Bài học cho người dùng và doanh nghiệp tại Việt Nam

Các chuyên gia khuyến nghị doanh nghiệp, đặc biệt là những đơn vị vận hành sàn giao dịch, ví điện tử hay nền tảng tài chính, cần:

• Kiểm soát chặt chẽ script bên thứ ba nhúng vào website, đặc biệt là các công cụ analytics, giám sát hiệu năng và quảng cáo
• Áp dụng Subresource Integrity (SRI) và chính sách bảo mật nội dung (CSP) để hạn chế mã độc từ nguồn ngoài
• Thiết lập cơ chế cảnh báo bất thường với các giao dịch rút tiền, chuyển token khối lượng lớn
• Thường xuyên rà soát và gỡ bỏ các đoạn mã không còn cần thiết khỏi hệ thống production
• Với người dùng cá nhân: cảnh giác khi thấy hoạt động giao dịch bất thường và luôn bật xác thực hai lớp

Vụ việc Polymarket là lời cảnh báo rằng ngay cả những nền tảng lớn, có đội ngũ kỹ thuật mạnh, vẫn có thể bị tổn thất chỉ vì một lỗ hổng ở nhà cung cấp dịch vụ phụ trợ. Việc công ty cam kết hoàn tiền cho người dùng phần nào giảm thiệt hại, nhưng uy tín và niềm tin của nhà đầu tư khó có thể khôi phục nhanh chóng.