予測市場プラットフォームのPolymarketは、ウェブインターフェースの脆弱性を悪用したハッカーにより、複数のユーザーの資金が盗まれたことを認めた。攻撃者はフロントエンドに悪意のあるコードを埋め込み、影響を受けたアカウントから暗号資産を直接流出させた。
PolymarketはXへの投稿で、「問題は封じ込められ、影響を受けた依存関係も削除しました。影響を受けたユーザーには連絡を取り、全額返金します」と発表した。同社は、被害を受けたすべてのユーザーに全額補償を行うと強調した。広報担当のコナー・ブランド氏は資金流出を認めたものの、侵害の詳細や進行中の調査についてはコメントを控えた。
攻撃の規模
ハッカーはフロントエンドに対するサプライチェーン攻撃を実行し、Polymarketのウェブサイトにコードを提供していたサードパーティーベンダーを侵害した。ベンダーのスクリプトは、ウォレット内の資金を流出させる悪意あるペイロードに置き換えられ、ユーザーのブラウザ上で実行された。
ブロックチェーン監視企業PeckShieldによると、この改ざんによってユーザーは不正な取引を承認するよう誘導され、11件のウォレットから約300万米ドル相当の暗号資産が流出した。Polymarketのスマートコントラクト自体は安全だったものの、ブラウザ層が侵害され、従来のスマートコントラクト監査では検出できない盲点が浮き彫りとなった。
セキュリティ専門家によると、この事件は、不正なスクリプトを通じてECサイトから数十億ドル規模の資金を盗み出してきたデジタルスキミング攻撃に匹敵するものだという。
今回のハッキング被害は、過去の大規模な暗号資産流出事件と比べれば比較的小規模である。しかし同時に、攻撃者がスマートコントラクトそのものではなく、その周辺の脆弱性を悪用するという繰り返されるパターンを改めて浮き彫りにした。過去のサプライチェーン攻撃やフロントエンド侵害と同様の手口であり、2025年にはBybitで15億米ドルが流出し、2022年にはRoninで6億2,000万米ドル規模のバリデーター侵害が発生していることからも、攻撃の規模と高度化が進んでいることが分かる。
浮き彫りとなったセキュリティリスク
被害者の一人は、今回の侵害は仮想専用サーバー（VPS）に起因した可能性があると指摘した。Xorek Cloudから購入したVPSに秘密鍵を保存していたというこのユーザーは、「最近Xorek CloudからVPSを購入し、そこに秘密鍵を保管していました。どのように侵害されたのかは分かりませんが、考えられるセキュリティ上のリスクはそれしかありません」と述べた。
今回の事件は、秘密鍵を外部サービスに保存する危険性を浮き彫りにするとともに、暗号資産プラットフォームが標的型攻撃に対して広範な脆弱性を抱えていることを改めて示した。専門家は、今年最も効果的なセキュリティ対策として、ハードウェアウォレットの利用、強固な認証、適切な秘密鍵管理、オンライン上の脅威への接触を最小限に抑えることを推奨している。これらの対策により、一般的な攻撃経路の99％以上を防ぐことが可能とされている。
しかし、ユーザーが知らないうちに悪意のある送金を承認してしまうケースもある。一度承認が完了すると、資金は即座に流出する。銀行取引とは異なり、暗号資産の取引は取り消すことができない。盗まれたステーブルコイン（PUSD）は速やかにETHへ交換され、複数のブロックチェーンを経由して移転されたため、資金回収はほぼ不可能となった。
一方で、ベンダーへの依存に関する監査の重要性も高まっている。フロントエンドのスクリプトやクラウドサービスは現在、主要な攻撃対象となっている。また、ユーザー自身の注意も不可欠であり、ブラウザ上で内容を十分確認せずに取引を承認してしまうことは、繰り返し悪用されている攻撃手法となっている。
信頼と規制
予測市場の参加者にとって、ベットの途中で資金を失うことは、Polymarketの信頼性に対する信用を損なうことにつながる。さらに、今回のハッキングは、2026年における暗号資産規制の転換期とも重なっている。米国では、審議中のCrypto Clarity Actにより、デジタルコモディティの現物市場について商品先物取引委員会（CFTC）が排他的な管轄権を持つことになる見込みである。
一方、欧州連合（EU）ではMiCA規則が全面施行され、すべての暗号資産サービス事業者にライセンス取得が義務付けられている。世界的にも、金融活動作業部会（FATF）や経済協力開発機構（OECD）の基準に基づき、特にマネーロンダリング対策や税務報告に関するコンプライアンス要件が一段と厳格化されている。
SiGMAの「Top 10 News」カウントダウンで、iGaming業界の重要ニュースをいち早くチェックしましょう。世界最大級のiGamingコミュニティが、毎週のインサイトや購読者限定オファーをお届けします。今すぐこちらからご参加ください。
