Polymarket xác nhận mất 3 triệu USD do tấn công chuỗi cung ứng front-end

Polymarket xác nhận mất 3 triệu USD trong vụ tấn công chuỗi cung ứng

Nền tảng dự đoán thị trường phi tập trung Polymarket hôm thứ Sáu chính thức xác nhận đã xảy ra một vụ tấn công nghiêm trọng khiến người dùng thiệt hại khoảng 3 triệu USD. Theo thông tin từ công ty bảo mật blockchain PeckShield, vụ việc bắt nguồn từ một nhà cung cấp bên thứ ba bị xâm phạm, qua đó tin tặc đã chèn mã độc vào giao diện front-end của website.

Tấn công chuỗi cung ứng front-end

Đây là dạng tấn công supply-chain nhắm vào lớp giao diện người dùng — một hướng tấn công ngày càng phổ biến trong hệ sinh thái DeFi. Thay vì tấn công trực tiếp vào smart contract hay hạ tầng on-chain của dự án, tin tặc nhắm vào một nhà cung cấp dịch vụ bên thứ ba tích hợp trong website, từ đó cài mã độc lên môi trường mà người dùng cuối tương tác hàng ngày.

Mã độc được chèn vào có khả năng đánh cắp thông tin hoặc chuyển hướng giao dịch, dẫn đến việc tài sản của người dùng bị rút ra ngoài mà không có sự đồng ý hợp lệ.

Phản ứng của Polymarket

Polymarket cho biết đã khống chế được sự cố ngay sau khi phát hiện và đang phối hợp điều tra để làm rõ toàn bộ phạm vi thiệt hại. Nền tảng đồng thời cam kết hoàn tiền cho những người dùng bị ảnh hưởng, tuy nhiên chưa công bố chi tiết về quy trình và thời hạn hoàn trả.

Đây là tín hiệu tích cực về trách nhiệm của dự án, song cũng đặt ra câu hỏi về quy trình kiểm soát an ninh đối với các tích hợp bên thứ ba trong hệ thống.

Bài học về bảo mật DeFi

Vụ việc tại Polymarket là lời nhắc nhở quan trọng rằng rủi ro bảo mật trong DeFi không chỉ đến từ lỗ hổng smart contract. Giao diện front-end và chuỗi cung ứng phần mềm đang trở thành mục tiêu ngày càng hấp dẫn với tin tặc, bởi chúng thường ít được kiểm toán chặt chẽ hơn so với lớp on-chain.

Trước đó, nhiều dự án DeFi lớn như Curve Finance hay Ledger cũng từng là nạn nhân của các hình thức tấn công tương tự nhắm vào lớp giao diện hoặc thư viện JavaScript phụ thuộc.

Người dùng các nền tảng DeFi được khuyến cáo thường xuyên kiểm tra địa chỉ URL, sử dụng ví phần cứng, và xem xét kỹ nội dung giao dịch trước khi ký xác nhận.