Polymarket、第三者侵害で取引停止

国際版サービスで取引停止

Polymarketは木曜日、第三者プロバイダーの侵害でユーザー口座から資金が流出したとして、国際版サイトPolymarket.comでの全取引を停止した。同社のステータスページによると、問題は特定され修正済みで、侵害を受けたプロバイダーは関係当局に通報され、影響を受けたユーザーは「全額補償される」という。被害を受けた口座数と流出総額は公表されていない。停止の対象は、自己管理型の口座で予測市場を取引するウォレットベースの国際版サービスで、米商品先物取引委員会(CFTC)のライセンス下で運営される規制済みの米国取引所は影響対象として名指しされていない。ステータスページ更新の直後には、コミュニティ運営のアカウントが公式文とほぼ同じ声明をXに投稿した。執筆時点で、取引を完全に復旧させる時期は示されていない。

@PolymarketTrade · Xの投稿

声明をXに投稿.

Xで見る

18:05(UTC)にキャンセルのみモードへ

ステータスページは木曜日18:05(UTC)に異常を初めて告知し、予測市場の売買を成立させるオーダーブックである予測取引APIの重大な障害として分類した。この時点で取引所はキャンセルのみモードに入り、既存注文の取り消しは可能だったが、新規注文も約定も処理されず、ユーザーに代わってオンチェーン取引を送信するリレイヤーも停止したままだった。一方、アカウントアクセス、WebSocketフィード、ポジションデータ、Polygon決済は終始稼働を続けた。約32分後の18:37(UTC)に状況は「調査中」から「特定済み」へ移行し、原因は侵害された第三者プロバイダーに帰属された。マッチングエンジンが停止する間、許容される注文種別は建玉注文の取消しのみで、リスクに晒されたままのトレーダーはポジションを解消できなかった。

ユーザー被害と268万ドルの主張

流出の報告は、会社側が何も確認する前にX上で拡散し始めた。Carという名のトレーダーはX上の投稿で、自分の口座から80万ドルが持ち去られ、友人も60万ドルを失ったと述べ、全ポジションが売却されたと明かした。別のアカウントStarPlatinumは、17:05(UTC)に資金の受け取りを始めた疑いのある受け取りウォレットを追跡し、17:25時点で41.2万ドル、17:50に202万ドルに達し、18:05にピークの268万ドルに達したと報告。同アカウントは、受け取り側がユーザーの入金残高から変換した計2,860万POLを蓄積したと推計し、入金ウォレットファクトリーのプロキシを特定したうえで、Relayのスポンサードトランザクション基盤が関与したと主張した。ただし、これらの数値はいずれも未確認だ。会社の声明には被害者数、損失総額、攻撃者アドレスが示されず、取引ハッシュも公表されていない。

@CarOnPolymarket · Xの投稿

X上の投稿.

Xで見る

6月のフロントエンド攻撃と補償の前例

今回の事態は、6月のインシデントを想起させる。第三者ベンダーの侵害により、一部ユーザーのフロントエンドに悪意あるスクリプトが混入したものだ。当初のオンチェーン分析では、少なくとも11のウォレットにわたり294万ドル、その後の推計では310万ドルの損失とされた。資金はPolygon上でpUSDとして持ち去られ、Relayを経由して変換され、Ethereumへブリッジされた後にETHへ交換された。会社は当時、影響のある依存関係を除去し、被害顧客に全額返金すると述べた。その数日前には、同業プラットフォームでも類似の侵害が起きていた。Predict.funは10月27日の声明で約40万USDTの不正送金を確認し、外部でホストされたAPIドキュメントサイトの侵害の可能性を指摘、全額返金と詳細な事後検証報告を約束した。さらに12月には、ワンクリックログインサービスをめぐるインシデントでも同じ弱点、すなわち第三者依存が問題の核となった。

繰り返す第三者依存のパターン

約10カ月間で3件のインシデントが、いずれもオンチェーンのコントラクトではなくベンダー依存を経由して起きたことは、予測市場スタックの構造的な弱点を示している。Polymarketはレイヤー2ネットワークのLayer 2であるPolygon上で稼働し、初期の自動マーケットメーカー設計から中央型オーダーブックへ早くに移行済みだ。それでも攻撃対象は、コントラクト監査では覆われないホスト型フロントエンド、リレイヤー、入金ウォレット基盤に存在する。いずれの事例でも、資金はユーザーが悪意ある要求に署名した瞬間に流出し、損失は確認の時点で確定した。同社の「修正して補償する」という姿勢は一貫しているが、今回も第三者を挙げる以外に、取引ハッシュ、確認済みの損失額、技術的な根本原因を公表していない。詳細が判明するまでの間、遊休残高をコールドウォレットへ移し、ハードウェアウォレットの仕組みを確認しておくことが、アクティブユーザーの現実的な防御策として残る。