Polymarket bị lỗi xác thực bên thứ ba tấn công, người dùng mất tiền

• Một lỗ hổng xác thực của bên thứ ba đã vượt qua lớp bảo vệ hai yếu tố của Polymarket, cho phép truy cập trái phép vào tài khoản và rút tiền.
• Người dùng báo cáo số dư bị rút sạch, bao gồm cả các tài khoản hàng đầu, với một số mất hàng nghìn dù không có thiết bị bị xâm phạm.
• Polymarket đã khắc phục lỗ hổng và sẽ liên hệ với các người dùng bị ảnh hưởng, nhưng tổng thiệt hại và số lượng tài khoản vẫn chưa được tiết lộ.

Polymarket xác nhận đã xảy ra một vụ vi phạm an ninh trong tuần này sau khi người dùng báo cáo tài khoản bị rút sạch và hoạt động đăng nhập đáng ngờ trên nền tảng. Sự cố xảy ra trên nền tảng dự đoán thị trường của Polymarket, với các báo cáo xuất hiện trên Reddit và X vào thứ Ba. Theo công ty, một lỗ hổng xác thực của bên thứ ba đã vượt qua lớp bảo vệ hai yếu tố, cho phép truy cập trái phép và rút tiền.

Báo cáo người dùng kích hoạt phản hồi của nền tảng

Đáng chú ý, người dùng bắt đầu báo cáo vấn đề sau khi nhận được cảnh báo đăng nhập bất ngờ liên quan đến tài khoản Polymarket của họ. Một số người dùng đã báo cáo nhiều lần cố gắng đăng nhập trước khi số dư biến mất.

Một người dùng Reddit cho biết số dư tài khoản của họ giảm xuống còn 0,01 đô la qua đêm, dù không có thiết bị bị xâm phạm. Một người dùng khác trên X báo cáo mất khoảng 2.000 đô la, ngay cả khi đã bật xác thực hai yếu tố.

Tuy nhiên, các báo cáo không chỉ dừng lại ở một nền tảng. Thêm nhiều người dùng trên X cho biết kẻ tấn công đã rút sạch các tài khoản có thứ hạng cao và tài khoản thử nghiệm. Một người dùng tuyên bố tài khoản Polymarket “top 1000” của họ đã bị xóa sạch hoàn toàn. Khi các báo cáo này lan rộng, người dùng đặt câu hỏi làm thế nào kẻ tấn công vượt qua các lớp bảo mật hiện có.

Công cụ đăng nhập của bên thứ ba đang bị xem xét

Khi sự chú ý chuyển sang các phương pháp xác thực, một số người dùng chỉ ra Magic Labs như một nguồn khả thi. Magic Labs cung cấp dịch vụ đăng nhập dựa trên email và tạo ví tự động cho người dùng.

Công cụ này cho phép người mới không có ví tiền điện tử truy cập các nền tảng như Polymarket. Người dùng tuyên bố các tài khoản bị ảnh hưởng được tạo ra bằng Magic Labs, mặc dù không nhận được email lừa đảo nào.

Trong khi đó, Polymarket không xác nhận danh tính nhà cung cấp. Tuy nhiên, công ty cho biết lỗ hổng bắt nguồn từ bên ngoài hạ tầng cốt lõi của họ. Polymarket nhấn mạnh rằng vấn đề xuất phát từ một nhà cung cấp đăng nhập bên thứ ba chứ không phải hệ thống nội bộ.

Polymarket xác nhận đã khắc phục, giữ bí mật chi tiết

Theo một tuyên bố được chia sẻ trên Discord của Polymarket, công ty đã xác định và khắc phục lỗ hổng. Nền tảng cho biết vấn đề ảnh hưởng đến “một số ít người dùng” và xác nhận không có rủi ro đang diễn ra. Polymarket thêm rằng họ sẽ liên hệ trực tiếp với các người dùng bị ảnh hưởng.

Tuy nhiên, Polymarket không tiết lộ số lượng tài khoản bị ảnh hưởng hoặc tổng số tiền bị mất. Magic Labs cũng không phản hồi các yêu cầu từ truyền thông. Đáng chú ý, điều này theo sau các báo cáo tương tự của người dùng vào cuối năm 2024 liên quan đến đăng nhập dựa trên Google.