木曜日、10月29日、予測市場プラットフォームPolymarketは、ネイティブPOLトークンの不正引き出しを可能にする脆弱性を検知した後、国際取引サイトを一時停止すると発表しました。この侵害は、第三者プロバイダーの脆弱性に起因し、取引所はキャンセル専用モードに入り、リレイヤーサービスを停止し、法執行機関に通知した旨と、影響を受けたユーザーに全額返金する旨の声明を公表しました。

技術的詳細

Hudson Rockのセキュリティ研究者は、ウェブパフォーマンス監視サービスDebugBearがホストするスクリプトを攻撃のベクターとして特定しました。このスクリプトはログイン済みのPolymarketセッションを検索し、ユーザーの保有量を読み取り、ハードコードされたフォールバックアドレス（0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18）へ売却または転送を試みました。Arkhamデータは、Relayクロスチェーンサービスを通じて実行された一連のUSDC.e→POLスワップ後、アドレスが約260万ドル相当のPOLを蓄積したことを示しています。Hudson Rockは価値を約219万ドルと見積もり、未検証であると指摘し、Bitcoin.comとUnchainedが引用した分析者は損失額を約270万ドルとしました。

悪意あるコードは、脆弱なプロバイダーの埋め込みを通じてPolymarketの本番サイトに組み込まれました。削除後、サイトのコードはスクリプトの削除を記録しましたが、初期の侵害がどのように発生したか、また何件のアカウントが標的になったかはまだ判明していません。

Polymarketの対応と修復

Polymarketのステータスページは、取引所が午後2時5分（ET）にキャンセル専用モードに入り、新規注文を防止し既存注文のキャンセルのみを許可したことを示しました。リレイヤーの動作も停止しました。午後2時33分（ET）には、プラットフォームが「国際プラットフォームに影響を与える問題を特定し修正した」と投稿し、第三者プロバイダーが侵害されたことを明らかにしました。

午後3時頃（ET）に取引が再開され、午後3時5分（ET）にステータスページでインシデントが解決されたと記載されました。PolymarketはXで、損失を被ったすべてのトレーダーに完全返金すると再度述べました。同社は侵害された内部キーをローテーションし、本番権限を取り消し、プライベートキーをより安全なキー管理システムに移行する計画を発表しました。

文脈と規制の背景

10月のインシデントは、今年のPolymarketでの2件のセキュリティイベントに続きます。5月のプライベートキー侵害で約70万ドルが流出し、6月のフロントエンド脆弱性で15件未満のアカウントから約300万ドルが盗まれました。各ケースで、侵害はPolymarketのスマートコントラクトコードの脆弱性ではなく、外部アクセスポイントから発生しました。

別件として、Unchainedは米国商品先物取引委員会（CFTC）が、Polymarketが2022年の和解に従い米国ユーザーをオフショア市場から排除していたかどうかを調査していると報じました。調査は10月の脆弱性とは無関係ですが、予測市場プラットフォームへの規制監視が強化されていることを示しています。

今後の注目点

観測者はPolymarketの返金プロセスを監視し、影響を受けたすべてのユーザーが完全に補償されることを確認します。第三者プロバイダーとDebugBearのセキュリティ実務、悪意あるスクリプトがどのように注入されたかについてのさらなる開示も注目されます。最後に、規制当局は繰り返し発生するサプライチェーン攻撃がDeFiプラットフォームに対する重要なリスクとみなされ、より厳格な監督を必要とするかどうかを検討する可能性があります。