پالی‌مارکت، بازار بین‌المللی پیش‌بینی، پس از آنکه یک ارائه‌دهنده خدمات ثالث به خطر افتاد، در ۲۹ اکتبر معاملات را از سر گرفت. این پلتفرم اعلام کرده مشکل را برطرف کرده، موضوع را به مراجع قانونی ارجاع داده و زیان کاربران آسیب‌دیده را جبران می‌کند؛ با این حال، اطلاعیه رسمی رقم کل خسارت را مشخص نکرده است.
این رخداد دومین حادثه امنیتی مهم پالی‌مارکت در فاصله‌ای حدود چهار ماه است. حمله قبلی در ۲۵ ژوئن رخ داد و بنا بر گزارش‌ها حدود ۳ میلیون دلار از دارایی کاربران را تخلیه کرد. تکرار چنین حادثه‌ای توجه‌ها را به این پرسش جلب کرده است که کدهای متعلق به شرکت‌های بیرونی در محیط مرورگر معامله‌گران تا چه حد می‌توانند به ابزارهای معاملاتی و درخواست‌های تأیید مالی دسترسی پیدا کنند. گزارش اصلی این رویداد را CryptoSlate منتشر کرده است.
آنچه در رخداد اکتبر اتفاق افتاد
سوابق رسمی حادثه پالی‌مارکت نشان می‌دهد محدودیت معاملات از ساعت ۱۸:۰۵ به وقت هماهنگ جهانی آغاز شد و یک ساعت بعد، در ۱۹:۰۵، وضعیت رفع‌شده اعلام شد. پالی‌مارکت گفته است نقص را اصلاح کرده و برای بررسی بیشتر، موضوع را در اختیار مراجع اجرای قانون قرار داده است. این شرکت همچنین وعده داده کاربران متأثر را به‌طور کامل جبران کند.
با این حال، تحقیقات جداگانه تصویر دقیق‌تری از مسیر احتمالی حمله ارائه کرده‌اند، بدون آنکه همه جزئیات را قطعی کنند. هادسون راک در بررسی ایستا، کدی را شناسایی کرد که از یک نشانی مرتبط با DebugBear دریافت شده بود. این کد در یک نشست کاربری فعال، به‌دنبال ابزار معاملاتی زنده و امضاکننده آن می‌گشت؛ امضاکننده بخشی است که برای درخواست تأیید رمزنگاری‌شده به کار می‌رود.
بر اساس این بررسی، کد برای انواع مختلف حساب‌ها اقدامات متفاوتی را در نظر گرفته بود: در یک مسیر، درخواست انتقال توکن‌های موقعیت و در مسیر دیگر، فروش و انتقال وجوه حاصل از معاملات. با این حال، تحلیل هادسون راک ثابت نکرده است که امضاها بدون اطلاع کاربر انجام شده‌اند، کل انتقال‌های برنامه‌ریزی‌شده اجرا شده‌اند یا کلید خصوصی کاربران به سرقت رفته است. همچنین متادیتای نسخه تولیدی نشان می‌داد اسکریپت پایش DebugBear حذف شده، اما همین موضوع زمان دقیق پایان مواجهه کاربران با خطر را روشن نمی‌کند.
تفاوت حمله ژوئن و برآورد خسارت
حمله ژوئن از مسیر دیگری انجام شد. پالی‌مارکت در ۲۵ ژوئن اعلام کرده بود اسکریپتی مخرب از طریق یک فروشنده به خطر افتاده وارد سامانه شده است. این شرکت گفت وابستگی آسیب‌دیده را حذف کرده و کاربران بازپرداخت کامل دریافت خواهند کرد.
بررسی Source Defense برآورد کرد حدود ۳ میلیون دلار از دارایی‌ها تخلیه شده است. طبق این گزارش، زنجیره ورود حمله از یک تگ بازاریابی آغاز شد که یک کتابخانه هویت بیرونی را بارگذاری می‌کرد؛ مهاجم سپس آن را با تخلیه‌کننده‌ای مخصوص پالی‌مارکت جایگزین کرد. این کد کیف‌پول‌هایی با ارزش بیش از ۱۰۰ هزار دلار را هدف می‌گرفت و به‌طور مکرر درخواست مجوز دیجیتال می‌فرستاد. پس از تأیید، مجوز از طریق ریلیر خود پالی‌مارکت، یعنی زیرساخت ارسال اقدامات امضاشده، پردازش می‌شد.
در مورد رخداد اکتبر، شرکت تحلیل بلاک‌چین Bubblemaps برآورد کرده است بیش از ۷۰۰ کاربر تحت تأثیر قرار گرفته‌اند و حدود ۳.۴۶ میلیون دلار دارایی به خطر افتاده است. بر پایه این برآورد، مهاجمان تقریباً ۲.۷ میلیون دلار را به توکن POL تبدیل و از پالی‌مارکت خارج کردند؛ حدود ۷۵۰ هزار دلار دیگر در زمان ارزیابی همچنان در این پلتفرم باقی مانده بود. این ارقام برآورد پژوهشگران هستند و پالی‌مارکت در اطلاعیه رسمی خود مجموع زیان را اعلام نکرده است.
چرا دسترسی کدهای ثالث اهمیت دارد؟
اسکریپت شخص ثالثی که مستقیماً در یک صفحه وب قرار می‌گیرد، می‌تواند به اسکریپت‌ها و داده‌های دیگر همان صفحه دسترسی داشته باشد. بنابراین، صرف میزبانی فایل در دامنه‌ای دیگر، این دسترسی را از بین نمی‌برد؛ در مقابل، محتوایی که در یک قاب جداگانه و با مرز امنیتی متفاوت بارگذاری می‌شود، شرایط دیگری دارد.
در این دو حادثه، مسیرهای ورود متفاوت بودند: در ژوئن یک وابستگی بازاریابی و در اکتبر یک اسکریپت مرتبط با پایش به محیط حساس معاملاتی راه یافتند. کاهش کدهای بیرونی در صفحات معامله و امضا، محدودکردن درخواست‌های امضاکننده و بررسی فایل‌های دریافت‌شده، هرکدام بخشی جداگانه از این زنجیره را هدف می‌گیرند. فناوری «یکپارچگی منابع فرعی» نیز به مرورگر اجازه می‌دهد فایل دانلودشده را با اثر انگشت رمزنگاری‌شده مورد انتظار مقایسه و در صورت تغییر، آن را رد کند.
پالی‌مارکت هنوز جزئیات کاملی درباره بازه مواجهه، حساب‌های آسیب‌دیده و مسیرهای مجوز منتشر نکرده است. چنین گزارشی می‌تواند مشخص کند کدام اقدامات به تأیید تازه کاربر نیاز داشته‌اند و دسترسی ابزارهای بیرونی تا چه حد به اختیار مالی واقعی تبدیل شده است.
تصویر بازار در داده‌های Moneyiar
داده‌های بازار Moneyiar در زمان ثبت‌شده، یعنی ۲۵ اکتبر ۲۰۲۶، برای توکن POL قیمت ۰.۰۸۹۸۰۸۲۱۸۶ دلار را نشان می‌دهد؛ این توکن در ۲۴ ساعت ۰.۳۹ درصد افزایش و در هفت روز ۰.۷۴ درصد کاهش داشته است. در همین داده‌ها، قیمت JST برابر با ۰.۱۴۰۶۹۸۴۳۲۱ دلار است؛ تغییر آن در ۲۴ ساعت منفی ۰.۱۴ درصد و در هفت روز مثبت ۳.۷۹ درصد ثبت شده است.
همچنین قیمت MON در داده‌های Moneyiar برابر با ۰.۰۲۱۵۴۹۶۱۸۱ دلار گزارش شده است؛ این دارایی در ۲۴ ساعت ۰.۴۹ درصد افت و در هفت روز ۲.۳۳ درصد رشد کرده است. این ارقام صرفاً تصویر بازار در زمان‌های ثبت‌شده را نشان می‌دهند و ارتباطی با برآورد خسارت رخداد امنیتی پالی‌مارکت ندارند.
