Polymarket bị tấn công chuỗi cung ứng, thiệt hại 2,9 triệu USD và cam kết hoàn tiền

Polymarket xác nhận bị tấn công qua chuỗi cung ứng phần mềm

Nền tảng dự đoán phi tập trung Polymarket vừa xác nhận một sự cố bảo mật nghiêm trọng, trong đó kẻ tấn công đã chèn mã độc (malicious script) vào giao diện người dùng (frontend) của nền tảng thông qua một dependency bên thứ ba bị xâm phạm. Tổng thiệt hại ước tính lên tới 2,9 triệu USD.

Cơ chế tấn công chuỗi cung ứng

Đây là hình thức tấn công supply chain — một vector nguy hiểm ngày càng phổ biến trong hệ sinh thái Web3. Thay vì tấn công trực tiếp vào hạ tầng của Polymarket, kẻ xấu đã nhắm vào một nhà cung cấp thư viện (vendor) mà nền tảng sử dụng. Sau khi kiểm soát được dependency đó, chúng chèn mã độc hại vào frontend, từ đó có thể can thiệp vào các giao dịch của người dùng khi họ tương tác với nền tảng.

Kiểu tấn công này đặc biệt nguy hiểm vì nó khai thác lòng tin của người dùng vào giao diện chính thống — ngay cả khi hợp đồng thông minh (smart contract) phía dưới vẫn an toàn, lớp frontend bị nhiễm độc có thể chuyển hướng tài sản mà người dùng không hay biết.

Phản ứng của Polymarket

Polymarket cho biết đội ngũ kỹ thuật đã phát hiện và khoanh vùng sự cố, đồng thời loại bỏ dependency bị ảnh hưởng ngay sau khi xác định được nguồn gốc tấn công. Nền tảng khẳng định tình huống đã được kiểm soát và hệ thống hiện hoạt động bình thường.

Đáng chú ý, Polymarket cam kết hoàn tiền toàn bộ cho những người dùng chịu thiệt hại trực tiếp từ vụ tấn công — một động thái được đánh giá là tích cực trong bối cảnh nhiều giao thức DeFi thường không có cơ chế đền bù sau các sự cố tương tự.

Bối cảnh và ý nghĩa

Polymarket là một trong những nền tảng prediction market lớn nhất trong không gian crypto, cho phép người dùng đặt cược vào kết quả của các sự kiện thực tế — từ bầu cử, thể thao đến các diễn biến tài chính. Nền tảng đã thu hút lượng lớn thanh khoản và sự chú ý của cộng đồng, đặc biệt trong các chu kỳ sự kiện lớn.

Vụ việc một lần nữa nhấn mạnh rủi ro tiềm ẩn từ chuỗi cung ứng phần mềm trong các ứng dụng phi tập trung. Dù smart contract có được kiểm toán kỹ lưỡng, các lớp phụ thuộc bên ngoài ở tầng frontend vẫn là điểm yếu mà các dự án cần kiểm soát chặt chẽ hơn.

Cộng đồng bảo mật Web3 khuyến nghị các dự án nên áp dụng kiểm tra toàn vẹn dependency (subresource integrity), giám sát liên tục các thay đổi trong thư viện bên thứ ba, và thiết lập quy trình phản ứng sự cố rõ ràng để giảm thiểu thiệt hại khi các tình huống tương tự xảy ra.