‏Polymarket: סקריפט ניטור של צד שלישי שהוחלף רוקן ארנקים, 3.9 מיליון דולר הוחזרו

‏ב-29 באוקטובר 2026 הוחלף בקוד זדוני סקריפט למדידת ביצועים שסיפק נותן שירות ונטען באתר polymarket.com. הסקריפט ניצל את ההפעלות הפתוחות של משתמשים כדי למכור את הפוזיציות שלהם ולהוציא את הכספים. ‏Polymarket מחזירה 3.9 מיליון דולר בסך הכול והידקה את הבקרה על סקריפטים של צד שלישי.

מה קרה

בדוח תחקיר שפורסם ב-30 באוקטובר 2026 מסבירה פלטפורמת שוקי התחזית Polymarket כי זיהתה פעילות לא מורשית בארנקי משתמשים ב-29 באוקטובר בשעה 17:38 UTC. מקור הבעיה לא היה בקוד שלה: נותן שירות שסקריפט מדידת הביצועים שלו נטען ב-polymarket.com נפרץ, והתוקף החליף את הסקריפט בגרסה שכוונה למשתמשי Polymarket. אצל חלק מהאנשים שהאתר היה פתוח אצלם בחלון זמן קצר באותו אחר צהריים, הסקריפט השתמש בהפעלה הפעילה כדי למכור פוזיציות ולהעביר כספים אל מחוץ לארנקים שלהם.

‏Polymarket מחזירה 3.9 מיליון דולר בסך הכול: 2.7 מיליון בגין הגניבה ו-1.2 מיליון בגין הפסדים שנגרמו מהשהיית המסחר. בעת פרסום הדוח הוחזר מלוא הסכום ל-95% מהארנקים שנפגעו. החברה לא מסרה כמה משתמשים נפגעו, והעבירה את המקרה לרשויות אכיפת החוק.

כיצד התוקפים חדרו

האתר סמך על הדומיין של נותן השירות, ולכן הדפדפנים הריצו כל מה שהדומיין הגיש. לפי ניתוח של Hudson Rock, מדיניות אבטחת התוכן (CSP) של האתר התירה את הדומיין הזה; הסקריפט הזדוני קרא נתוני הזדהות השמורים בדפדפן, איתר את לקוח המסחר בדף, ואז ביקש חתימות ושלח העברות לכתובת שבשליטת התוקף. לפי The Record, נותן השירות מסר כי הממצאים הראשונים מצביעים על פריצה דרך רשם הדומיינים שלו.

מה לעשות עכשיו

1. מפו את הסקריפטים החיצוניים באתרים שלכם, למשל בעזרת curl -s https://www.example.com/ | grep -oE 'src=[^ >]+', והסירו את המיותרים, החל מדפי הכניסה, התשלום ואזור הלקוח.
2. קבעו ואמתו את מה שנשאר: ארחו בעצמכם גרסה קבועה, או הוסיפו Subresource Integrity לקבצים שאינם משתנים (גיבוב שמופק בעזרת openssl dgst -sha384 -binary file.js | openssl base64 -A), כך שקובץ ששונה ייחסם.
3. הדקו את ה-CSP: רשימות script-src ו-connect-src מדויקות, עם דיווח על הפרות. היתר לדומיין אינו בודק את מה שהוא מגיש.
4. נטרו שינויים: חשבו באופן קבוע גיבוב של קבצי צד שלישי והתריעו על כל שינוי.
5. הכינו את התגובה: היו מסוגלים להסיר סקריפט ולאפס את כל ההפעלות תוך דקות, כפי שעשתה Polymarket.
6. הגנו על הדומיינים שלכם: אימות רב-שלבי ונעילת רשם (registrar lock) בחשבונות אצל רשם הדומיינים.

הדעה שלנו

סקריפט שנטען מדומיין אחר רץ עם אותן הרשאות כמו הקוד שלכם, בתוך ההפעלות של הלקוחות שלכם. תג אנליטיקה או ניטור נחשב רק לעתים רחוקות לרכיב קריטי, וכאן הוא הספיק כדי לרוקן חשבונות. פחות סקריפטים של צד שלישי, גרסאות קבועות ובדיקות שלמות עולים מעט לעומת החזר של מיליונים.

מקורות

• Polymarket Status — Post-mortem of the 29 October 2026 incident
• The Record — Polymarket pledges to give $3.9 million back to victims after site compromise
• The Record — Polymarket confirms cyberattack involving third party
• Hudson Rock (Infostealers) — Polymarket breach alert: wallet-draining code found in a third-party script

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←