🔍 Contexte : Le 29 octobre 2026, Hudson Rock (via infostealers.com) publie une investigation technique sur une compromission de la plateforme de prédiction crypto Polymarket, impliquant un script JavaScript malveillant distribué via l’infrastructure CDN de DebugBear, un outil légitime de monitoring de performance.

⚠️ Nature de l’attaque : Le fichier cdn.debugbear[.]com/C7xcKKrjUnXK.js (15 187 octets, SHA-256 : 0755e767504d8103f6c27b9e765a1026507a17c04513242adb503df7777879e5) récupéré à 18:12:06 UTC contenait une logique de vol d’actifs crypto spécifiquement ciblant Polymarket :

  • Lecture des entrées localStorage (polymarket.auth.params, polymarket.auth.proxyWallet, poly_clob_api_key_map)
  • Traversée des structures internes React pour localiser le client de trading actif (méthodes postOrder, createOrder, createMarketOrder)
  • Inspection du portefeuille et sélection des positions selon des seuils configurables
  • Construction de messages EIP-712 pour demander des signatures via le signer existant
  • Transfert des actifs vers une adresse destinataire codée en dur : 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18
  • Exfiltration de données vers data.debugbear[.]com (chemins /metrics/submit, /metrics/update, /metrics/handle)

💰 Impact financier potentiel : L’adresse destinataire affichait environ 2,19 millions USD en POL et tokens au moment de la capture PolygonScan. Ce montant n’est pas une quantification vérifiée des fonds volés.

🏗️ Deux branches d’exécution selon le type de compte :

  • EOA : transfert batch ERC-1155 des tokens de position vers le destinataire
  • Magic/non-EOA : soumission d’ordres SELL à prix agressifs puis transfert des soldes

🛠️ Suppression documentée : Les métadonnées de build de production de Polymarket contiennent le message chore(polymarket): remove debugbear rum script (#15337) avec un timestamp de 2026-10-29T17:59:20.443Z, corroborant la suppression du script.

📅 Chronologie établie (UTC, 29 octobre 2026) :

  • 17:59:20 — Timestamp du build de suppression du script DebugBear
  • 18:12:06 — Première récupération du payload malveillant par Hudson Rock
  • 18:13:04 — Deuxième récupération, octets identiques
  • 18:13:43 — Récupération de l’asset contenant le message de suppression

❓ Éléments non établis : nombre d’utilisateurs affectés, pertes totales, mécanisme de compromission initial, identité de l’attaquant, impact sur d’autres clients DebugBear.

📰 Type d’article : Investigation technique originale publiée par Hudson Rock, visant à documenter et diffuser des indicateurs de compromission exploitables pour les défenseurs et les utilisateurs potentiellement exposés.

🧠 TTPs et IOCs détectés

TTP

  • T1195.002 — Compromise Software Supply Chain (Initial Access)
  • T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
  • T1552.001 — Unsecured Credentials: Credentials In Files (Credential Access)
  • T1041 — Exfiltration Over C2 Channel (Exfiltration)
  • T1657 — Financial Theft (Impact)

IOC

  • Domaines : cdn.debugbear.com — VT · URLhaus · ThreatFox
  • Domaines : data.debugbear.com — VT · URLhaus · ThreatFox
  • URLs : https://cdn.debugbear.com/C7xcKKrjUnXK.js — URLhaus
  • URLs : https://data.debugbear.com/metrics/submit — URLhaus
  • URLs : https://data.debugbear.com/metrics/update — URLhaus
  • URLs : https://data.debugbear.com/metrics/handle — URLhaus
  • URLs : https://data.debugbear.com/metrics/init — URLhaus
  • SHA256 : 0755e767504d8103f6c27b9e765a1026507a17c04513242adb503df7777879e5 — VT · MalwareBazaar
  • Fichiers : C7xcKKrjUnXK.js

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 31 octobre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • C7xcKKrjUnXK.js (wallet drainer) (other)

🟡 Indice de vérification factuelle : 63/100 (moyenne)

  • ⬜ infostealers.com — source non référencée (0pts)
  • ✅ 23732 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 9 IOCs dont des hashes (15pts)
  • ✅ 1/6 IOC(s) confirmé(s) (MalwareBazaar, ThreatFox, URLhaus, VirusTotal) (8pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

IOCs confirmés externellement :

  • 0755e767504d8103… (sha256) → VT (6/76 détections)

🔗 Source originale : https://www.infostealers.com/article/polymarket-breach-alert-wallet-draining-code-found-in-a-third-party-script/