تعرضت منصة بوليماركت (Polymarket)، المتخصصة في أسواق التنبؤ المعتمدة على البلوك تشين، لحادث أمني خطير أدى إلى سرقة ما يقرب من 2.7 مليون دولار من أموال المتداولين، بعدما نجح مهاجمون في استبدال سكربت خارجي موثوق بآخر خبيث استُخدم للاستيلاء على الأصول الرقمية من حسابات المستخدمين المسجلين دخولهم إلى المنصة.
وكشفت التحقيقات الأولية أن مصدر الاختراق لم يكن البنية التحتية الرئيسية للمنصة نفسها، وإنما أداة خارجية تابعة لشركة DebugBear متخصصة في مراقبة أداء المواقع وسرعة تحميل الصفحات. وقد استغل المهاجمون هذه الحلقة في سلسلة التوريد الرقمية لزرع تعليمات خبيثة داخل موقع بوليماركت، ما سمح لهم بتنفيذ عمليات نقل غير مشروعة للأموال والأصول الرقمية.
وأعلنت بوليماركت أنها ستعوض جميع المتضررين، مشيرة إلى أن 726 محفظة رقمية تأثرت بالحادث، فيما تظهر بيانات البلوك تشين أن أصولًا رقمية تبلغ قيمتها نحو 2.64 مليون دولار وصلت إلى المحافظ التي يسيطر عليها المهاجمون خلال أقل من ساعة واحدة.
كيف نجح المهاجمون في تنفيذ الهجوم؟
تشير التحليلات الأمنية إلى أن البرمجية الخبيثة لم تعتمد على سرقة كلمات المرور أو العبارات السرية أو المفاتيح الخاصة بالمستخدمين، بل استغلت الامتيازات الممنوحة بالفعل للحسابات المفتوحة داخل المتصفح.
وبحسب الباحثين، تمكن السكربت المزروع من الوصول إلى البيانات المخزنة داخل جلسة المستخدم النشطة، بما في ذلك مفاتيح واجهات البرمجة الخاصة بالتداول. ورغم أن هذه المفاتيح غير كافية وحدها لتنفيذ عمليات تداول أو تحويل أموال، فإن المهاجمين وجدوا وسيلة للاستفادة من صلاحيات التوقيع المتاحة بالفعل داخل الصفحة.
وقد صُممت البرمجية للبحث عن المكونات المسؤولة عن تنفيذ أوامر التداول والتوقيع على المعاملات داخل موقع بوليماركت، ثم استخدام تلك الصلاحيات بشكل غير مباشر لإجراء معاملات تصب في مصلحة المهاجمين.
وتبرز هذه الواقعة نموذجًا متقدمًا من هجمات الواجهة الأمامية للمواقع الإلكترونية، حيث لا يحتاج المهاجم إلى اختراق المحفظة الرقمية نفسها، بل يكتفي باستغلال الثقة القائمة بين المستخدم والموقع أثناء جلسة العمل النشطة.
سيناريوهات سرقة الأموال والأصول الرقمية
أظهرت التحقيقات أن البرمجية استخدمت أسلوبين مختلفين بحسب طريقة تسجيل المستخدم للدخول إلى المنصة.
ففي الحالات التي اعتمد فيها المستخدم على محفظة عملات مشفرة مباشرة، قامت البرمجية بتحويل المراكز الاستثمارية والأصول المرتبطة بها إلى المحافظ التابعة للمهاجمين.
أما المستخدمون الذين اعتمدوا على تسجيل الدخول عبر البريد الإلكتروني، فقد اتخذ الهجوم مسارًا مختلفًا، حيث عمدت البرمجية إلى تصفية المراكز المفتوحة بأسعار أقل من قيمتها السوقية تدريجيًا، ثم نقل العائدات الناتجة إلى المحافظ الخبيثة.
وخلال فترة زمنية قصيرة بين الساعة 17:10 و18:02 بالتوقيت العالمي، تمكن المهاجمون من جمع ما يقرب من 28.6 مليون رمز POL إضافة إلى مراكز تداول متعددة من 33 محفظة على الأقل.
وتشير الحسابات إلى أن قيمة تلك الرموز وحدها بلغت نحو 2.64 مليون دولار في ذلك الوقت، من دون احتساب قيمة المراكز الاستثمارية الأخرى التي تم الاستيلاء عليها.
اختراق سجلات DNS وراء الحادث
في تطور لافت، أوضحت شركة DebugBear أن سجلات نظام أسماء النطاقات (DNS) الخاصة بها تعرضت للاختراق عبر الجهة المسؤولة عن تسجيل النطاق، ما أدى إلى إعادة توجيه بعض الطلبات إلى خوادم خبيثة قامت بتقديم النسخة المعدلة من السكربت.
وأكدت الشركة أن التحقيقات الأولية لم تظهر أي دليل على تعرض أنظمتها الداخلية لاختراق مباشر، مشيرة إلى أن الهجوم ركز على عميل واحد فقط هو موقع بوليماركت.
ويعد هذا النوع من الهجمات مثالًا واضحًا على مخاطر الاعتماد المتزايد على الأكواد الخارجية وخدمات الطرف الثالث، حيث يمكن لمكون برمجي واحد أن يتحول إلى نقطة دخول تسمح للمهاجمين بالتأثير على آلاف المستخدمين في وقت واحد.
استجابة بوليماركت وتدابير الحماية الجديدة
سارعت بوليماركت إلى تعطيل الوظائف المتأثرة ووضع المنصة في وضع يسمح بإلغاء الأوامر فقط، مع تعليق عمليات التنفيذ عبر المرحلات الإلكترونية المستخدمة في معالجة المعاملات.
كما أعلنت إزالة السكربت الخبيث خلال أقل من ساعة من اكتشاف الحادث، وإعادة بناء الذاكرة المؤقتة للموقع بالكامل، وإنهاء جميع جلسات تسجيل الدخول النشطة، فضلاً عن إيقاف التداول مؤقتًا حتى الانتهاء من التحقق من سلامة البيئة التشغيلية.
وأكدت الشركة أنها أحالت القضية إلى جهات إنفاذ القانون المختصة، بينما بدأت بالفعل تنفيذ برنامج تعويضات واسع النطاق.
وبحلول اليوم التالي للحادث، تمت إعادة الأموال بالكامل إلى 689 محفظة متضررة، في حين استمرت مراجعة الحالات المتبقية. كما خصصت بوليماركت نحو 1.19 مليون دولار إضافية لتعويض آلاف المستخدمين الذين تكبدوا خسائر نتيجة تعليق التداول أو تأثر مراكزهم أثناء الأزمة.
دروس أمنية لهجمات الطرف الثالث
أعادت الحادثة تسليط الضوء على المخاطر المتزايدة المرتبطة بسلسلة التوريد البرمجية، لا سيما تلك التي تعتمد على مكتبات وأكواد يتم تحميلها من مصادر خارجية أثناء تشغيل المواقع.
وشدد الباحثون الأمنيون على أهمية تقليل الاعتماد على السكربتات الخارجية داخل الصفحات التي تتعامل مع الأصول المالية أو عمليات التوقيع الحساسة. كما أوصوا باستخدام تقنية Subresource Integrity (SRI) للتحقق من سلامة الملفات المحملة ومنع تنفيذ أي نسخة يتم التلاعب بها.
كذلك دعا الخبراء إلى مراجعة الصلاحيات التي يمكن للأكواد العاملة داخل الصفحات الحصول عليها، ومراقبة أي محاولة للوصول إلى وظائف التوقيع أو المعاملات الحساسة.
أما بالنسبة للمستخدمين، فقد أكد الباحثون ضرورة رفض أي طلب توقيع غير متوقع أو غير مفهوم، حتى إذا بدا صادرًا من منصة موثوقة، إذ أصبحت هجمات الواجهة الأمامية وسلسلة التوريد من أكثر الأساليب فعالية في استهداف الأصول الرقمية خلال السنوات الأخيرة.
