Polymarket hoàn trả 3,9 triệu USD cho nhà giao dịch sau vụ tấn công chuỗi cung ứng qua DNS hijack

Polymarket đang hoàn trả khoảng 3,9 triệu USD cho các nhà giao dịch sau vụ tấn công chuỗi cung ứng hồi cuối tháng 10. Trong khi đó, công ty giám sát hiệu năng website DebugBear xác nhận bản ghi DNS của mình đã bị chiếm đoạt. Sự việc một lần nữa cho thấy rủi ro từ các bên thứ ba trong chuỗi cung ứng phần mềm, đặc biệt với các nền tảng tài chính.

Thông báo của DebugBear trên website công ty. Ảnh: SecurityWeek

Diễn biến vụ việc

Ngày 29/10, nền tảng thị trường dự đoán Polymarket đã tạm dừng giao dịch trên nền tảng quốc tế sau khi người dùng phản ánh có các giao dịch rút tiền trái phép. Nhóm nghiên cứu Hudson Rock xác định hoạt động bất thường này liên quan đến một đoạn JavaScript độc hại được phục vụ từ một địa chỉ của DebugBear mà website Polymarket đang tải về.

Đoạn mã này nhắm vào những nhà giao dịch đang đăng nhập. Nó kiểm tra danh mục đầu tư của họ, sau đó hoặc bán tháo các vị thế, hoặc chuyển tài sản sang một ví do kẻ tấn công kiểm soát. Mã đọc dữ liệu liên quan đến thông tin đăng nhập được lưu trong trình duyệt, nhưng Hudson Rock không tìm thấy bằng chứng cho thấy nó gửi mật khẩu, cụm từ khôi phục (seed phrase) hay khóa riêng tư về cho kẻ tấn công. Thay vào đó, nó lợi dụng quyền giao dịch của phiên đăng nhập đang mở.

"Cuộc tấn công đến từ một nhà cung cấp bên thứ ba bị xâm phạm mà chúng tôi đã loại bỏ trong vòng một giờ. Chúng tôi đang tích cực điều tra cùng cơ quan thực thi pháp luật và sẽ công bố báo cáo sau sự cố (postmortem)."

Con số thiệt hại và phương án đền bù

Trong bản cập nhật ngày 30/10, Polymarket cho biết có 726 ví bị ảnh hưởng. Vào thời điểm đó, tất cả trừ 37 ví đã được hoàn tiền, số còn lại đang được thanh toán sau khi kiểm tra thông tin.

Nền tảng này cũng bồi thường cho những nhà giao dịch bị ảnh hưởng bởi việc tạm dừng giao dịch, hoặc bị đoạn mã độc bán hay chuyển vị thế, với tổng cộng 1,19 triệu USD cho khoảng 5.500 ví. Cộng với khoảng 2,7 triệu USD bị đánh cắp trực tiếp, tổng số tiền hoàn trả lên tới 3,9 triệu USD.

DebugBear nói gì?

DebugBear cung cấp script giám sát người dùng thực (RUM), giúp các website đo lường hiệu năng tải trang của khách truy cập. Ban đầu công ty yêu cầu khách hàng gỡ bỏ mã nhúng, và nay đã công bố những phát hiện đầu tiên.

Theo DebugBear, bản ghi máy chủ DNS của họ đã bị chiếm đoạt thông qua nhà đăng ký tên miền. Hiện công ty không thể nhận email gửi đến tên miền của mình.

Công ty cho biết kẻ tấn công dường như chỉ nhắm vào website của một khách hàng cụ thể, tuy nhấn mạnh đây mới là kết luận sơ bộ. DebugBear không nêu tên khách hàng này, và Polymarket cũng không công bố danh tính nhà cung cấp bị xâm phạm.

DebugBear chưa giải thích kẻ tấn công giành được quyền truy cập ở cấp nhà đăng ký bằng cách nào, và cuộc điều tra vẫn đang tiếp diễn. Công ty khẳng định không phát hiện dấu hiệu hệ thống nội bộ bị xâm phạm.

Tác giả Eduard Kovacs, biên tập viên cấp cao của SecurityWeek. Ảnh: SecurityWeek

Rủi ro chuỗi cung ứng không còn là chuyện hiếm

Đây không phải lần đầu Polymarket gặp sự cố tương tự. Hồi tháng 6, nền tảng này từng cho biết một nhà cung cấp bên thứ ba bị xâm phạm dẫn đến việc một script độc hại bị chèn vào giao diện người dùng (frontend). Thiệt hại khi đó ước tính khoảng 3 triệu USD.

Sự việc là lời cảnh báo cho các doanh nghiệp Việt Nam, đặc biệt trong lĩnh vực fintech và thương mại điện tử: những script nhúng từ bên thứ ba như công cụ phân tích, quảng cáo hay giám sát hiệu năng đều có thể trở thành "cửa sau" nếu nhà cung cấp bị tấn công. Việc rà soát danh sách các script bên thứ ba, áp dụng Chính sách bảo mật nội dung (CSP) và giám sát chặt chẽ hạ tầng DNS là những bước phòng vệ cần thiết.