Hack Polymarketu za 2,7 mil. $, ether klesá: súhrn dňa 30. 10.

Najdôležitejšia správa piatkového rána neprichádza z búrz ani od centrálnych bánk, ale z kryptosveta. Predikčný trh Polymarket sa stal obeťou útoku cez dodávateľský reťazec. Útočníci kompromitovali monitorovací skript od externého dodávateľa DebugBear a zneužili ho na krádež prostriedkov používateľov. Podľa analýzy bezpečnostnej firmy GoPlus dosiahli straty 2,71 milióna dolárov a incident zasiahol 710 vkladových peňaženiek a 731 adries. Prevádzkovateľ, Polymarket International, už oznámil, že poškodených odškodní postupne. Na trhu je zároveň cítiť slabší sentiment: futures na bitcoin aj ether sa ráno obchodujú v červených číslach a ether stráca výraznejšie.

Útok, ktorý neprišiel cez samotnú platformu

Incident ukazuje typ hrozby, ktorý je pre bežného používateľa takmer neviditeľný. Útočníci podľa dostupných informácií neprelomili inteligentné kontrakty ani interné systémy Polymarketu priamo. Prenikli k tzv. RUM skriptu od spoločnosti DebugBear. Real User Monitoring je nástroj, ktorý webové stránky bežne vkladajú do kódu, aby merali rýchlosť načítania a správanie stránky u skutočných návštevníkov. Takýto skript beží priamo v prehliadači používateľa, a preto je po kompromitácii mimoriadne nebezpečný. Podľa správ útočníkom umožnil zneužiť povolenia na transakcie a odčerpať prostriedky z prepojených peňaženiek.

Bezpečnostní experti takéto incidenty označujú ako útoky na dodávateľský reťazec (supply chain). Ich princíp je jednoduchý a zároveň zákerný: útočník nemusí prelomiť cieľ samotný, stačí, ak kompromituje menej chránený článok, ktorému cieľ dôveruje. Moderné webové aplikácie vrátane finančných a kryptomenových sa skladajú z desiatok knižníc a služieb tretích strán. Každá z nich je potenciálnou vstupnou bránou. Prípad Polymarketu je preto varovaním pre celé odvetvie, nielen pre jednu platformu.

Odškodnenie po etapách

Polymarket International reagoval oznámením plánu postupného odškodnenia poškodených používateľov. Plán rozlišuje veľkosť strát a pre používateľov so stratami do 10-tisíc dolárov počíta s osobitným postupom. Ide o väčšinu menších, retailových účtov, pri ktorých je overenie nárokov jednoduchšie. Postupný model je v podobných situáciách bežný: platforma najprv potrebuje presne zmapovať zasiahnuté adresy, overiť nároky a vylúčiť duplicitné či špekulatívne žiadosti. Vyššie straty sa zvyčajne preverujú dôkladnejšie.

Pre dôveru v platformu bude rozhodujúce, ako rýchlo a transparentne sa odškodnenie uskutoční. Predikčné trhy v posledných rokoch výrazne zvýšili svoju viditeľnosť a stávajú sa sledovaným zdrojom informácií o očakávaniach verejnosti. Každý bezpečnostný incident však pripomína, že ide stále o mladý segment, v ktorom nie sú štandardy ochrany spotrebiteľa také ustálené ako v tradičnom finančnom sektore. Pomerne rýchle oznámenie plánu odškodnenia môže dopady na reputáciu zmierniť, definitívny verdikt však vynesú až samotní používatelia.

Bitcoin a ether pod tlakom

Na širšom kryptomenovom trhu bolo cez noc cítiť opatrnosť. Novembrový futures kontrakt na bitcoin na derivátovej burze Coinbase Derivatives sa krátko po polnoci obchodoval okolo 78 735 dolárov, teda o 2 000 dolárov a 2,48 percenta nižšie. Ešte citeľnejší bol pokles pri ethere: októbrový futures kontrakt sa obchodoval na úrovni 2 235 dolárov, čo je strata 88 dolárov a 3,79 percenta.

To, že ether klesá rýchlejšie ako bitcoin, zodpovedá dlhodobo pozorovanému vzorcu. V obdobiach slabšej nálady investori zvyčajne viac predávajú rizikovejšie aktíva a ether býva volatilnejší ako bitcoin, ktorý časť trhu vníma ako relatívne defenzívnejšiu súčasť kryptoportfólia. Priamu súvislosť medzi hackom Polymarketu a poklesom cien z podkladov vyvodiť nemožno, keďže rozsah incidentu je v porovnaní s veľkosťou trhu malý. Správy o bezpečnostných zlyhaniach však v citlivom prostredí môžu opatrný sentiment ešte posilniť.

Pre obchodníkov s derivátmi je dôležitý aj technický detail. Futures na Coinbase Derivatives sa obchodujú nepretržite sedem dní v týždni, v piatok však majú hodinovú prestávku. Dnes je teda deň, keď treba s touto pauzou počítať. Zároveň sa blíži koniec mesiaca, keď sa pri termínových kontraktoch zvykne riešiť ich rolovanie do ďalších období a obchodovanie býva rozkolísanejšie.

Čo to znamená pre investorov

Ranné správy spája jedna téma: riziko v kryptomenách nemá len podobu kolísania cien. Pokles futures o niekoľko percent patrí k bežnému dennému rytmu tohto trhu. Prípad Polymarketu však ukazuje, že prostriedky môžu ohroziť aj technologické zlyhania, ktoré používateľ sám nemá ako ovplyvniť. Nezáleží pritom, či ide o investovanie, obchodovanie alebo stávky na predikčných trhoch. Platí to rovnako pre slovenských používateľov, ktorí využívajú zahraničné platformy, ako aj pre kohokoľvek, kto prepája peňaženku s webovými aplikáciami.

Odborníci na bezpečnosť v podobných prípadoch všeobecne pripomínajú, že treba pravidelne kontrolovať a rušiť nepotrebné povolenia na transakcie, ktoré peňaženka udelila aplikáciám, a nedržať na platformách vyššie sumy, než je potrebné. Ide o základnú digitálnu hygienu, ktorá riziko neodstráni, ale môže ho zmenšiť.

Čo sledovať

Počas dňa bude kľúčové, aké ďalšie podrobnosti zverejní Polymarket International o harmonograme odškodnenia a či sa ukáže, že kompromitovaný skript DebugBear zasiahol aj iné služby. Ide totiž o nástroj, ktorý môžu využívať viaceré weby. Na kryptomenovom trhu sa oplatí sledovať, či bitcoin a ether po nočnom poklese nájdu oporu, alebo predaje budú pokračovať do víkendu. Piatok a koniec mesiaca zvyknú priniesť úpravy pozícií, ktoré môžu pohyby cien zosilniť.