In questo articolo Indice dei contenuti 2 sezioni
na falla di sicurezza su Polymarket ha permesso, per un certo periodo, di prendere il controllo degli account altrui e di svuotarli, con perdite che in alcuni casi hanno superato le migliaia di euro. La vicenda risale allo scorso luglio ed è emersa soltanto nel fine settimana, quando sono stati resi pubblici i dettagli di un attacco che avrebbe colpito circa 500 utenti statunitensi. Il numero, va detto, resta ancora da chiarire e potrebbe non essere quello definitivo. La piattaforma, tra l’altro, continua a essere liberamente raggiungibile dall’Italia nonostante l’oscuramento annunciato dall’Agenzia delle Dogane e dei Monopoli. Un dettaglio non secondario, considerando che si parla di un servizio dove circolano soldi veri, con versamenti e prelievi gestiti direttamente dagli utenti.
Come funzionava il furto degli account su Polymarket
Il meccanismo era tanto banale quanto devastante. Bastava provare a creare un nuovo account utilizzando le informazioni personali di qualcuno già registrato sulla piattaforma. A quel punto il malintenzionato riusciva ad accedere al profilo della vittima senza conoscerne né username né password, arrivando a controllare anche le carte e i conti collegati.
Il problema, come si intuisce, va oltre i singoli casi segnalati. Una vulnerabilità di questo tipo espone chiunque compaia nei tanti leak che circolano online, quelli che contengono nomi, cognomi, indirizzi fisici, numeri di telefono e riferimenti ai documenti personali. Materiale che si trova con relativa facilità e che, in questo scenario, diventava la chiave per entrare in casa d’altri. Ufficialmente i profili colpiti sarebbero pochi. Le verifiche condotte sul campo, però, hanno portato alla luce diversi episodi in cui sono spariti importi consistenti. Un utente si è visto sottrarre oltre 4.800 euro, finiti su una carta di debito che non gli apparteneva. Ha denunciato tutto alla polizia locale, all’FBI e alla CFTC, la Commodity Futures Trading Commission, senza ricevere alcuna risposta da parte della società. L’unica reazione della piattaforma è stata sospendere il suo account, il che suona piuttosto paradossale per chi aveva appena subito un furto.
Il silenzio della società e le scelte del fondatore
Solo nel fine settimana una portavoce di Polymarket ha fatto sapere che il denaro perso nell’incidente sarebbe stato rimborsato. Una comunicazione arrivata mesi dopo i fatti e, soprattutto, dopo che la storia era diventata pubblica. Tempistiche che raccontano parecchio dell’approccio adottato dall’azienda nella gestione della sicurezza informatica.
E proprio su questo punto è emerso il retroscena più pesante. Il fondatore e numero uno della società, Shayne Coplan, avrebbe chiesto ai dipendenti di concentrare ogni sforzo sulla crescita, mettendo in secondo piano le questioni legate alla protezione degli utenti. In pratica, l’indicazione sarebbe stata quella di accettare il rischio di incassare sanzioni pur di non rallentare la corsa. Una strategia che nel mondo delle startup non è del tutto inedita, ma che assume tutt’altro peso quando si parla di una piattaforma dove gli iscritti depositano e prelevano denaro reale.
Il caso solleva domande sul livello di tutela offerto a chi utilizza servizi di questo genere. La combinazione tra dati personali facilmente reperibili nei leak e procedure di registrazione poco solide crea una superficie d’attacco ampia, sfruttabile anche da chi non possiede competenze tecniche particolarmente avanzate. Non serviva violare server o aggirare sistemi di cifratura, bastava conoscere qualche informazione anagrafica.
Fonte: TecnoAndroid
