Polymarketは、2026年10月29日に発生したサイバーインシデントを受け、ユーザーに対し総額390万ドルの返金を約束した。このインシデントでは、攻撃者が侵害されたサードパーティースクリプトを悪用し、顧客の暗号資産ウォレットから資金を流出させた。予測市場プラットフォームを運営する同社は、外部ベンダーが提供したパフォーマンス監視スクリプトが悪用され、被害を受けたアカウントから不正な取引が実行されたことを確認した。

10月30日に公開されたセキュリティアップデートで、Polymarketは補償パッケージの詳細を公表した。内容は、攻撃に関連する損失に対する270万ドルと、取引停止による損失に対する追加の120万ドルで構成される。同社によると、影響を受けたウォレットの95%にはすでに全額返金が完了している。

侵害されたベンダースクリプトがアクティブセッションを悪用

今回の侵害は、外部テクノロジー提供者が提供したパフォーマンス監視スクリプトに起因する。攻撃者は正当なスクリプトを、Polymarketの国際プラットフォーム上のアクティブな取引セッションを狙った悪意あるコードに置き換えた。ユーザーはアカウントにログインしたままだったため、注入されたコードにより不正な取引が可能となり、攻撃者は取引ポジションを売却し、口座所有者の承認なしに接続された暗号資産ウォレットから資金を移送した。

ロイターは被害を受けた提供者を、ウェブサイトのパフォーマンス監視企業であるDebugBearと特定した。同ベンダーはセキュリティインシデントを認め、調査の間、顧客に対し監視コードの削除を勧告した。この侵入経路は、ウェブのサプライチェーン侵害というより広範な類型に合致する。サードパーティースクリプトは信頼されたページ内で動作するためであり、同様の攻撃手法は2018年にブリティッシュ・エアウェイズやTicketmasterに被害を出したMagecart型のカードスキミング攻撃でも使用された――ただしそのキャンペーンが決済カード情報を狙ったのに対し、今回はログイン中の取引セッションと接続された暗号資産ウォレットが標的となった。

Polymarketは不審なアクティビティを検知後、取引と決済処理を一時停止した。その後、プラットフォームは悪意あるスクリプトを削除し、ウェブサイトのキャッシュを消去し、アクティブなログインセッションをリセットしたうえで、通常運用を再開した。

補償は盗難資金を超えて適用

返金プログラムは、攻撃中に直接奪われた資産以上を対象とする。Polymarketはまた、取引の一時停止により財務的損失を被ったトレーダーへの補償も約束した。

追加の120万ドルは、取引中断の影響を受けたポジションに関連する対象損失に充てられる。これには、停止中に市場が閉じたことで価値を失ったポジションや、取引再開後に完了した一部の取引が含まれる。対象ユーザーは、ブロックチェーン記録と取引アクティビティに基づき自動的に補償を受け取る。返金額に誤りがあると考える顧客は、追加の審査を求めることができる。支払いは手動の申請プロセスではなくオンチェーン記録と取引記録から算出されるため、金額に異議のあるユーザーはこの審査経路による訂正に依存することになる。

セキュリティ強化はサードパーティーリスクを対象

今回のインシデントは、暗号資産取引プラットフォームに組み込まれた外部ソフトウェアに伴う脆弱性を浮き彫りにした。中核のブロックチェーンインフラが正常に稼働していても、侵害されたウェブサイトのコンポーネントはユーザーを重大な財務損失にさらしうる。実際、プラットフォームの攻撃対象領域には、スマートコントラクトや鍵管理に加えて、ベンダー提供のフロントエンドコードも含まれる。

Polymarketは、より厳格なスクリプト検証、追加の監視、サードパーティーコードに対する制限の強化を通じて、セキュリティ管理を強化していると述べた。同社は本件を捜査機関に通報しており、攻撃者に関する調査を継続している。

390万ドルの補償コミットメントは、本侵害に対する重要な財務的対応である。予測市場への参加者が拡大するなか、この事件はアクティブな取引セッションを保護することの重要性を改めて示している。今後注目すべき点は、まだ全額返金されていない影響ウォレット約5%に該当する返金、ユーザーからの追加審査による調整、そして捜査機関への通報とPolymarketおよびDebugBearによる継続中の調査の帰結である。

出典: CryptoMeter io