Polymarket ระงับการซื้อขายชั่วคราว หลังพบสคริปต์อันตรายจากผู้ให้บริการภายนอกมุ่งขโมยสินทรัพย์ดิจิทัล - Thailand Computer Emergency Response Team (ThaiCERT)

595/69 (IT) ประจำวันศุกร์ที่ 30 ตุลาคม 2569

Polymarket แพลตฟอร์มตลาดคาดการณ์ออนไลน์ ระงับการซื้อขายบน Polymarket.com ชั่วคราวเมื่อวันที่ 29 ตุลาคม 2569 หลังตรวจพบผู้ให้บริการภายนอกรายหนึ่งถูกบุกรุกและถูกใช้เผยแพร่ JavaScript อันตราย โดย Polymarket ปรับระบบเป็นโหมด cancel-only และระงับการทำงานของ Relayer ระหว่างตรวจสอบ ก่อนแก้ไขปัญหาและกลับมาเปิดซื้อขายได้ตามปกติภายในเวลาประมาณหนึ่งชั่วโมง บริษัทระบุว่าได้ส่งเรื่องให้หน่วยงานบังคับใช้กฎหมายและจะชดเชยผู้ใช้งานที่ได้รับผลกระทบ แต่ยังไม่ได้เปิดเผยจำนวนผู้เสียหายหรือมูลค่าความเสียหายทั้งหมดอย่างเป็นทางการ

นักวิจัยจาก Hudson Rock ตรวจพบ JavaScript อันตรายที่เผยแพร่ผ่าน cdn.debugbear[.]com ซึ่งเป็นโครงสร้างพื้นฐานของ DebugBear ผู้ให้บริการตรวจสอบประสิทธิภาพเว็บไซต์ พบว่าสคริปต์ถูกออกแบบให้เข้าควบคุม Session การซื้อขายของผู้ใช้ที่ล็อกอินอยู่ ตรวจสอบยอดสินทรัพย์และรายการสินทรัพย์ที่ผู้ใช้ถืออยู่ก่อนพยายามสั่งขายรายการดังกล่าวหรือโอน Token และสินทรัพย์ไปยังกระเป๋าเงินของผู้โจมตี รวมถึงติดต่อกับ data.debugbear.com เพื่อรับคำสั่งและส่งข้อมูลบัญชี กระเป๋าเงิน ยอดคงเหลือ และผลการทำธุรกรรม จากการตรวจสอบเพิ่มเติมพบว่ากระเป๋าเงินที่ฝังอยู่ในสคริปต์มีการโอนประมาณ 28.6 ล้าน POL มูลค่าราว 2.57 ล้านดอลลาร์สหรัฐ ไปยังกระเป๋าอื่น แต่ตัวเลขดังกล่าวยังไม่สามารถยืนยันว่าเป็นยอดความเสียหายทั้งหมดจากเหตุการณ์นี้

ผู้ใช้งาน Polymarket ควรตรวจสอบประวัติการซื้อขาย รายการที่ถืออยู่ และธุรกรรมในกระเป๋าเงินว่ามีรายการที่ไม่ได้ดำเนินการเองหรือไม่ และติดตามประกาศจาก Polymarket เกี่ยวกับการชดเชยผู้ได้รับผลกระทบ สำหรับองค์กรที่ใช้งาน DebugBear Real User Monitoring (RUM) ควรดำเนินการตามคำแนะนำของ DebugBear โดยนำ JavaScript Embed Code ออกจากเว็บไซต์ชั่วคราว พร้อมตรวจสอบ Log และกิจกรรมผิดปกติในช่วงเวลาที่เกิดเหตุ โดยเฉพาะเว็บไซต์ที่มี Third-party JavaScript ทำงานร่วมกับ Session หรือธุรกรรมสำคัญ เนื่องจากเหตุการณ์ดังกล่าวแสดงให้เห็นถึงความเสี่ยงเมื่อสคริปต์จากผู้ให้บริการภายนอกที่ถูกแก้ไขโดยผู้โจมตี อาจถูกโหลดและทำงานบนเว็บไซต์ที่ผู้ใช้งานเชื่อถือได้โดยตรง

แหล่งข่าว : https://www.bleepingcomputer.com/news/security/polymarket-halts-trading-after-crypto-draining-script-breach-25m-traced/

595/69（IT）2026年10月30日，星期五

在线预测市场平台Polymarket于2026年10月29日暂停了Polymarket.com的交易，原因是检测到第三方供应商的系统遭到入侵，并被用于传播恶意JavaScript代码。Polymarket在调查期间将交易模式切换至仅支持取消交易，并暂停了Relayer服务。问题解决后，交易在大约一小时内恢复。该公司表示已向执法部门报案，并将对受影响的用户进行赔偿，但尚未正式公布受害人数或损失总额。

Hudson Rock 的研究人员发现，恶意 JavaScript 代码通过 cdn.debugbear[.]com 分发，该服务器是网站性能监控提供商 DebugBear 的基础设施。该脚本旨在控制已登录用户的交易会话，检查资产余额和持仓，然后尝试出售这些资产或将代币和资产转移到攻击者的钱包。它还会与 data.debugbear.com 通信，接收订单并发送账户信息、钱包详情、余额和交易结果。进一步调查显示，嵌入脚本的钱包将约 2860 万个 POL（价值约 257 万美元）转移到了另一个钱包，但该数字尚未确认是否为此次事件造成的全部损失。

Polymarket 用户应检查其交易历史、持仓和钱包交易记录，查找任何未执行的交易，并密切关注 Polymarket 关于受影响用户补偿的公告。使用 DebugBear 真实用户监控 (RUM) 的机构应遵循 DebugBear 的建议，暂时从其网站中移除 JavaScript 嵌入代码，并监控事件期间的日志和任何异常活动，尤其是在关键会话或交易中使用第三方 JavaScript 的网站上。此次事件凸显了第三方提供商修改后的脚本可能被加载并直接在用户信任的网站上执行的风险。

来源：https://www.bleepingcomputer.com/news/security/polymarket-halts-trading-after-crypto-draining-script-breach-25m-traced/