Phân tích kỹ thuật vụ tấn công chuỗi cung ứng nhắm vào nền tảng Polymarket

• Sự cố bảo mật: Polymarket bị tấn công thông qua mã độc JavaScript từ nhà cung cấp dịch vụ bên thứ ba DebugBear.
• Cơ chế tấn công: Mã độc thực hiện đánh cắp phiên làm việc (session hijacking) và thao túng các lệnh giao dịch trực tiếp trên trình duyệt người dùng.
• Thiệt hại ước tính: Theo các báo cáo phân tích, khoảng 2,7 triệu USD đã bị rút khỏi 710 ví tiền điện tử của người dùng.
• Khuyến nghị: Người dùng cần kiểm tra lại các phiên đăng nhập, thu hồi quyền truy cập ví và cảnh giác với các yêu cầu ký giao dịch bất thường.

Vào ngày 29 tháng 10 năm 2026, nền tảng dự đoán phi tập trung Polymarket đã ghi nhận một sự cố an ninh mạng nghiêm trọng. Các nhà giao dịch trên nền tảng quốc tế đã báo cáo về việc mất mát tài sản, các lệnh rút tiền trái phép và các vị thế giao dịch bị đóng mà không có sự đồng ý của chủ sở hữu. Ngay sau khi phát hiện, Polymarket đã tạm dừng hoạt động giao dịch để khắc phục sự cố và cam kết bồi thường cho những người dùng bị ảnh hưởng.

Phân tích kỹ thuật: Cơ chế tiêm mã độc qua chuỗi cung ứng

Theo kết quả điều tra kỹ thuật từ các chuyên gia bảo mật tại Hudson Rock, nguyên nhân gốc rễ của vụ tấn công xuất phát từ việc một nhà cung cấp dịch vụ bên thứ ba bị xâm nhập. Cụ thể, mã độc JavaScript độc hại đã được phân phối thông qua dịch vụ giám sát hiệu năng website DebugBear, vốn được Polymarket tích hợp trên nền tảng của mình.

Thay vì thực hiện chức năng giám sát hiệu năng thông thường, đoạn mã độc này được thiết kế để thực hiện các hành vi tấn công tinh vi nhắm vào phiên làm việc của người dùng:

• Quét dữ liệu nhạy cảm: Mã độc thực hiện đọc bộ nhớ trình duyệt (browser storage) để trích xuất thông tin tài khoản, địa chỉ ví và các thông tin xác thực API giao dịch.
• Thao túng React Components: Script tìm kiếm các thành phần React của ứng dụng để xác định client giao dịch đang hoạt động và công cụ ký (signer) dùng để ủy quyền cho các hành động trên ví.
• Tấn công phiên làm việc: Thay vì đánh cắp mật khẩu đơn thuần, mã độc tận dụng quyền truy cập đã được xác thực sẵn trong phiên làm việc hiện tại để thực hiện các giao dịch trái phép.

Các nhà nghiên cứu đã thu thập được các bản sao của tệp tin độc hại này và xác nhận rằng hành vi của mã độc thay đổi tùy thuộc vào loại tài khoản. Một số luồng tấn công cố gắng chuyển trực tiếp các token vị thế, trong khi các luồng khác thực hiện bán các vị thế trước khi rút tiền từ ví của người dùng thông qua công cụ relayer của Polymarket.

Bảng tổng hợp các chỉ số liên quan đến sự cố

Khuyến nghị phòng thủ và xử lý sự cố cho người dùng

Sự cố này một lần nữa nhấn mạnh rủi ro tiềm ẩn từ việc sử dụng các đoạn mã bên thứ ba trên các trang web xử lý dữ liệu nhạy cảm. Để bảo vệ tài sản, người dùng cần thực hiện các bước kiểm tra an ninh sau đây:

• Đóng các phiên làm việc: Ngay lập tức đóng các tab trình duyệt đang mở liên quan đến nền tảng và xóa cache trình duyệt để loại bỏ các script độc hại còn lưu trú.
• Kiểm tra lịch sử giao dịch: Rà soát lại các lệnh giao dịch gần đây thông qua các kênh chính thống và lưu lại các mã băm (transaction hashes) để phục vụ cho việc khiếu nại và hỗ trợ.
• Thu hồi quyền truy cập: Kiểm tra và thu hồi các quyền truy cập (approvals) trên blockchain mà người dùng đã cấp cho các hợp đồng thông minh không xác định.
• Cảnh giác với các yêu cầu ký: Tuyệt đối từ chối các yêu cầu ký giao dịch (signing requests) bất thường xuất hiện trên trình duyệt.

⚠️ Cảnh báo quan trọng: Việc ngắt kết nối ví đơn thuần không có nghĩa là các giao dịch đã hoàn tất hoặc các quyền truy cập trên blockchain đã bị hủy bỏ. Người dùng cần cẩn trọng với các liên kết khôi phục không rõ nguồn gốc và chỉ thực hiện theo hướng dẫn từ các kênh hỗ trợ chính thức của nền tảng. Tuyệt đối không chia sẻ cụm từ khôi phục (seed phrase) dưới bất kỳ hình thức nào.

Các chuyên gia an ninh mạng khuyến cáo rằng, trong bối cảnh các cuộc tấn công chuỗi cung ứng ngày càng trở nên tinh vi, các tổ chức cần áp dụng các biện pháp kiểm soát chặt chẽ hơn đối với các đoạn mã từ bên thứ ba, bao gồm việc sử dụng Subresource Integrity (SRI) và các chính sách bảo mật nội dung (Content Security Policy - CSP) nghiêm ngặt để ngăn chặn việc thực thi các script không mong muốn.