Polymarket、サードパーティベンダーの侵害でユーザー11名から290万ドルが流出

ハッカーはサードパーティベンダーの侵害により予測市場のフロントエンドに悪意のあるコードが注入され、少なくともPolymarketユーザー11名から約290万ドルを引き出した。

PolymarketはX（旧Twitter）で、インシデントを封じ込め、影響を受けた依存関係を削除したと発表した。「影響を受けたユーザーに連絡し、全額返金しています」と同社は述べている。

ブロックチェーンアナリストのSpecter氏はこの攻撃を特定し、Polymarketのドルペッグ型ステーブルコインであるPUSDを保有する11の被害者ウォレットで約294万ドルの損失と推定した。Specter氏が調査したオンチェーンデータによると、盗まれた資産はPolygonからEthereumにブリッジされ、約1,893 ETHに変換されており、これは一般的な資金洗浄手法である。

今回の不正行為は、Polymarketにとって困難な時期に起きた。DefiLlamaによると、同プラットフォームのロック済み総価値（TVL）は4億5000万ドル超で、前年比301％増となっている。先月には、内部業務に使用された6年前の秘密鍵が漏洩したことに関連し、60万ドルの不正利用が明らかになっていた。また、ウォール・ストリート・ジャーナルが日曜日に報じた調査では、Polymarketがクリエイターに報酬を支払い、偽の賞金を示す虚偽の動画を投稿させていたことが判明している。

DefiLlamaのデータによると、今回の攻撃は第2四半期に報告された89件目の暗号資産セキュリティ侵害であり、インシデント件数ベースでは四半期として過去最多を更新した。6月の暗号資産エクスプロイトによる損失は、29件の報告インシデントで7490万ドルに達し、5月の6050万ドルを上回った。

Polymarketのエクスペリエンス統括責任者であるWilliam LeGate氏はXで、同社は影響を受けたユーザーに全額返金しており、ユーザーに損失は発生していないと述べた。ブロックチェーン調査会社Bubblemapsは、影響を受けたユーザーアカウントは15未満であると結論付けている。

こうしたセキュリティ上の失態は、Polymarketに対する規制圧力が強まる中で発生している。スペインは5月にギャンブルライセンス未取得を理由に同プラットフォームをブロックし、フランス、ベルギー、ポーランド、イタリア、インドと同様にアクセスを制限する動きに加わった。先月にはGoogleのエンジニアが、社内検索データを利用して同プラットフォームで100万ドル超の利益を得たとして、インサイダー取引の罪で起訴されている。

本記事は情報提供のみを目的としており、投資助言を構成するものではありません。