現実の出来事の結果をユーザーが取引する予測市場Polymarketは10月29日、第三者モニタリングサービスが改ざんされ、悪意あるコードがプラットフォームのウェブサイトに注入されたことにより、数百のユーザーウォレットから約270万ドルが流出するセキュリティ侵害を受けた。

攻撃は、ウェブサイトパフォーマンスモニタリングプロバイダーであるDebugBearを経由してPolymarketの国際取引インターフェースを標的とした。改ざんされた同社のJavaScriptが不正な取引の実行に使用された。ブロックチェーン分析により、737の影響を受けたアカウントと合計約273万ドルの損失が特定され、資金はPolymarketの既存の出金インフラを通じて移動した。

Polymarketは一時的に取引を停止し、取引処理を無効化し、影響を受けた統合を削除した上で運用を復旧した。同社はセキュリティインシデントを確認し、本件を英国の法執行機関に付託し、影響を受けたすべてのトレーダーへの補償を約束した。今回の侵害には、Polymarketのスマートコントラクトにおける確認済みの脆弱性は関与しておらず、代わりに信頼された第三者サービスを通じて提供されたソフトウェアが悪用された。

改ざんされたDebugBearスクリプトが数百のウォレットから資金を流出

攻撃は、DebugBearのReal User Monitoring(RUM)インフラを通じて配布された悪意あるJavaScriptに由来する。RUMは、ウェブサイトがパフォーマンスやユーザーアクティビティを追跡するために使用するサービスである。セキュリティ研究者は、改ざんされたスクリプトに、認証済みのPolymarket取引セッションと相互作用できるウォレットドレイナー機能が含まれていたことを発見した。ユーザーのブラウザに読み込まれると、この悪意あるコードはアカウント残高の確認、未決ポジションの特定、不正な資産移転の開始が可能だった。

ウェブサイトは通常、分析、広告、パフォーマンス監視のために第三者スクリプトを読み込んでおり、そのようなコードはすべてサイト自身のコードとともに訪問者のブラウザで実行される。ベンダーのスクリプトが改ざんされると、悪意あるペイロードはそのスクリプトを組み込むすべてのサイトに到達しうる。このパターンは一般に「ソフトウェアサプライチェーン攻撃」と呼ばれる。

このスクリプトは、予測市場のポジションの清算と、暗号資産の保有を攻撃者が管理するアドレスへの送金を試み、Polymarketの既存の取引インフラを利用した。従来型のスマートコントラクトエクスプロイトとは異なり、この攻撃は基盤となるブロックチェーンコントラクトを破る必要はなく、ウェブサイトのフロントエンド経由でアクセスを得た後、正当な取引機能と出金機能を悪用した。

DebugBearは、自社インフラに影響するセキュリティインシデントを認め、モニタリングサービスを利用している顧客に対し、ウェブサイトから組み込みJavaScriptを削除するよう求めた。Polymarketはその後、改ざんされた依存関係を削除し、本番ビルドにはDebugBearモニタリング統合を対象とした更新が反映された。

本インシデントは、6月に別の改ざんされた第三者依存関係を通じて悪意あるコードがプラットフォームのフロントエンドに到達し、Polymarketユーザーから約294万ドルが流出した攻撃に酷似している。両インシデントは、プラットフォームの中核となるスマートコントラクトが正常に機能していても、外部ソフトウェア統合がユーザー資産を危険にさらしうることを浮き彫りにしている。

ブロックチェーン分析が737アカウントから流出した273万ドルを追跡

10月29日の取引記録から、17:10から18:10 UTCの間に737のPolymarketアカウントが影響を受け、約273万ドルの不正出金が行われたことが特定された。調査者はこの期間に985件の個別のドレイナー取引を追跡し、最も集中していたのは17:25から18:10 UTCの間だった。ピーク時には1分間に最大40件の取引が記録された。4つのアカウントが特定された損失の約43%を占め、一方で数百の小規模ウォレットも影響を受けた。

送金は、ユーザーに代わって取引を送信するPolymarketの正当なリレイヤーインフラを通じて、有効な取引承認を用いて実行された。盗まれた資産はその後、Polymarketの取引活動をホストするネットワークであるPolygonのネイティブ暗号資産であるPOLに交換され、追加のウォレット群に分散された。主要な受取アドレスである0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18は、インシデント期間中に約2,860万POLを蓄積した。

攻撃者はその後、資金をさらに3つのウォレットに移動させ、一部の資産はクロスチェーンブリッジサービスを経由してEthereumへ送られた。19:49 UTCの時点で、追跡された資金の約217万ドルがPolygon上に残っており、その他の収益はネットワーク間での移動を開始していた。

オンチェーン調査では、Polymarketが根本的な問題は修正されたと発表した後の19:11 UTCに、約11ドル相当の追加出金が1件特定された。この取引には以前攻撃の影響を受けたアカウントが関与しており、すべての悪意ある承認が即座に無効化されたのかという疑問が生じている。Polymarketは273万ドルという損失推定や報告された影響アカウント数を独自には確認していない。

Polymarket、取引を再開し全額補償を約束

Polymarketは当初、約18:05 UTCに国際取引所をキャンセルのみ可能なモードに移行し、ユーザーは既存の注文をキャンセルできる一方、新規取引は阻止され、リレイヤー運用も一時停止された。プラットフォームは改ざんされた統合を特定して削除し、18:37 UTCに脆弱性が対処されたと発表した。取引は約19:05 UTCに再開され、約1時間の中断が終了した。別個のPolymarket USプラットフォームには影響が報告されていない。

Polymarketは影響を受けたすべてのトレーダーに補償することを約束しているが、対象ユーザー数、補償のスケジュール、盗まれた資金の回収可能性については明らかにしていない。同社はまた、DebugBearが拠点とする英国の法執行機関に本件を付託しており、調査者はモニタリングプロバイダーのインフラがどのように改ざんされたのかを解明しようとしている。

暗号資産プラットフォームのセキュリティにとって厳しい時期

今回の侵害は、暗号資産プラットフォームのセキュリティにとって厳しい時期に追い打ちをかけるものとなった。同じ日に、Binanceは63億ドル規模のセキュリティ侵害を確認し、複数のブロックチェーンにわたる不正送金を受け、約30億ドル相当の資産が凍結された。両インシデントを結びつける証拠はなく、疑われている攻撃手法も大きく異なる。

Polymarketにとって、今回のエクスプロイトは、第三者依存関係とブラウザベースの暗号資産取引を取り巻く保護に関する新たな疑問を投げかけるものとなった。ユーザーの秘密鍵への直接アクセスも、基盤となるスマートコントラクトの脆弱性もないにもかかわらず、信頼されたウェブサイト統合を通じて提供された悪意あるコードが、不正な取引と出金を引き起こしえた。

Polymarketは正常な取引を復旧させ、ユーザーの損失を補償する意向を示しているが、DebugBear侵害の完全な技術的説明、最終的な経済的影響、回収プロセスについては依然として不明なままである。

出典:Crypto Adventure