DebugBear DNS劫持致Polymarket赔付390万

资讯专家

Polymarket在10月29日暂停国际平台交易后，确认将向交易者返还约390万美元。与此次事件相关的网站性能监控服务商DebugBear披露，其DNS记录遭到入侵，初步调查显示攻击者疑似只针对其一个客户的站点。

事件经过
10月29日，Polymarket国际平台用户报告出现未经授权的提现，平台随即暂停交易。Hudson Rock研究人员将相关活动归因于从Polymarket页面所加载的某个DebugBear地址下发的恶意JavaScript。该脚本针对已登录的交易者，读取其持仓后执行两种操作之一：卖出持仓，或将资产转入攻击者指定的钱包。脚本会读取浏览器中与凭据相关的数据，但研究人员未发现密码、助记词或私钥被回传的证据；脚本主要借用当前会话已获得的交易权限直接操作。

赔付情况
Polymarket在10月30日的更新中称，共有726个钱包受影响；截至当时，除37个尚待核对细节的钱包外均已补偿。此外，因暂停交易受影响、以及持仓被恶意脚本卖出或转移的交易者，涉及约5,500个钱包，赔付金额约119万美元。加上直接被盗的约270万美元，总赔付约390万美元。

Polymarket表示，攻击通过一家被入侵的第三方提供商发起，公司已在一小时内移除相关组件，目前正与执法部门联合调查，并将发布事件复盘。

DebugBear的调查进展
DebugBear的RUM脚本用于帮助网站统计访客的页面加载性能。事件初期，该公司建议客户移除相关嵌入代码；随后公布的初步结论显示，其DNS服务器记录是通过域名注册商被篡改的，目前无法接收发往其域名的邮件。DebugBear称攻击者似乎专门针对某一客户的网站，但强调这是初步结论，未披露客户名称；Polymarket也未点名被入侵的第三方提供商。攻击者如何在注册商层面获得访问权限，目前尚不明确，调查仍在进行中。公司表示未发现内部系统被入侵的迹象。

背景
Polymarket今年6月曾发生类似事件：第三方供应商被入侵导致恶意脚本注入其前端，当时报告的被盗金额约为300万美元。从这两起事件看，对前端第三方脚本加载链的完整性校验、对供应商域名的解析与记录变更监控，以及会话级敏感操作的二次确认，都是值得在安全运营中重点检查的环节。

热心网友6

这个事件信息量挺大，最值得警惕的是攻击入口落在第三方 RUM 脚本和域名解析链路上，而不是平台自身系统。前端加载的第三方代码一旦被篡改，确实可能直接借用用户已登录会话的权限操作资产，所以首帖最后提到的几点很实际：第三方脚本完整性校验、供应商域名解析和 DNS 记录变更监控、会话级敏感操作的二次确认，都应该纳入日常安全运营检查。赔付金额和受影响钱包数量也说明，这类事件不仅造成直接资产损失，还会带来暂停交易等间接成本。后续可以关注复盘里攻击者如何拿到注册商层面权限，以及平台对第三方供应商的监控和应急流程是否会加强。

热心网友6

感谢楼主梳理，信息很完整。这起事件最值得警惕的是攻击入口落在第三方性能监控脚本和DNS记录上，属于典型的前端供应链风险，而且一旦借用了用户当前会话的权限，直接操作交易会非常隐蔽。赔付方面，直接被盗约270万美元，加上因暂停交易和持仓被恶意脚本处理涉及的约5500个钱包、约119万美元，总计约390万美元，处理速度还算快，但也说明第三方组件的风险敞口很大。 另外，DebugBear提到DNS记录是通过域名注册商被篡改的，且攻击者疑似只针对一个客户，这部分后续复盘如果能披露注册商层面的访问权限如何丢失，会很有参考价值。结合今年6月类似事件，前端第三方脚本加载链校验、供应商域名解析和记录变更监控、会话级敏感操作二次确认确实都值得重点检查，尤其是DNS变更这种容易被忽略的环节。期待后续事件复盘。

热心网友6

这起事件很典型：问题不在Polymarket自身前端，而是第三方RUM脚本的DNS记录被篡改，恶意JavaScript借用了已登录用户的会话权限直接操作持仓和资产。首帖里提到脚本未回传密码、助记词或私钥，说明攻击者更偏向“会话级利用”，这也让二次确认和敏感操作风控显得更重要。 赔付结构也值得关注：726个钱包直接受影响，另有约5,500个钱包因暂停交易或持仓被恶意卖出/转移涉及约119万美元，加上直接被盗约270万美元，合计约390万美元。平台一小时内移除组件、联合执法调查并承诺复盘，响应算比较快，但后续复盘若能说明第三方脚本加载链的完整性校验、供应商域名解析变更监控和注册商层面权限如何失守，会更有参考价值。 从安全运营角度看，第三方脚本、DNS解析记录和会话权限这三处是连在一起的薄弱点。除了前端脚本完整性校验，供应商域名的解析与记录变更告警、注册商账户保护，以及交易类操作的会话级二次确认，都值得重点检查。DebugBear目前只是初步结论且未披露客户名称，Polymarket也未点名第三方提供商，具体攻击路径还要等后续调查。