10月29日に外部サービスプロバイダーで発生したセキュリティインシデントの後、ポリマーケットは国際プラットフォームでの取引を再開しました。同社は、この侵害で損失を被ったトレーダーが全額補償されると表明しています。ブロックチェーン分析企業のBubblemapsは、約700人のユーザーから約270万ドルが盗まれたと推定していますが、ポリマーケットはこの数値を確認していません。

研究者らは、この攻撃をウェブサイトのパフォーマンス監視サービスに仕込まれた悪意あるコードに結び付けています。米国ユーザー向けの連邦規制下にある同社のプラットフォーム「Polymarket US」は影響を受けていません。

取引停止の経緯

ポリマーケットの対応は、キャンセルのみのモードへの移行から始まりました。これにより、新規の取引が停止される間も、顧客は既存の注文を取り消すことができました。同社はまた、ユーザーに代わってトランザクションを送信するサービスも一時停止し、その後、サードパーティプロバイダーの1社が侵害されたことを明らかにしました。

同社の調査の間、取引は数時間にわたり停止されました。その後、X上のPolymarket Tradersアカウントからの更新により、取引が完全に再開されたことが確認されました。

同社によると、侵害されたベンダーは英国に拠点を置いています。ポリマーケットは、自社のウェブサイトは侵害されておらず、英国の法執行機関にも通報済みであると述べています。この一件は、自社のインフラが無事であっても、ベンダーを経由してプラットフォームの日々の運営が混乱に陥り得ることを示しています。

このハッキングはPolymarket USには影響しませんでした。これは、米国のユーザー向けに連邦規制の取引所として運営される新しいプラットフォームです。主力の国際プラットフォームは暗号資産ベースで、米国およびその他複数の国で禁止されています。

流出資金の追跡

Bubblemapsは、数百の入金ウォレットから攻撃者のものと特定したアドレスへの資金の流れを追跡しました。その図には、712の入金ウォレットと、主要な経路を通じて移動した約271万ドルが示されています。

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

同社によると、盗まれた資金はPolygonのネイティブトークンであるPOLに変換され、複数のアドレスに送金されました。Ethereumへの送金も追跡されています。

攻撃の仕組み

研究者らは、不審なコードをウェブサイトのパフォーマンス監視サービスに結び付けました。これらのツールは通常、企業が自社サイトの読み込みや動作を把握するのに役立ちます。企業自身のシステムではなくベンダーのコードを通じてもたらされる侵害は、業界では一般にサプライチェーン攻撃として知られており、サードパーティの埋め込みスクリプトはウェブプラットフォームにとって昔からよく知られた攻撃経路です。研究者らによると、悪意あるコードはユーザーの取引セッションにアクセスし、資産をアカウントから移動させる操作を実行したといいます。正確な攻撃手法は現在も調査中です。

X上では、著名なトレーダー数名が損失を被ったと述べました。ポリマーケットは、影響を受けたトレーダーの数や損失額についてWIREDの取材に回答しませんでした。

過去のインシデントと10億ドルの資金調達

これは同プラットフォーム初の侵害ではありません。2026年6月には、別のインシデントにより影響を受けたトレーダーに200万ドル超の損失が発生しました。Bubblemapsの推定では、今回のインシデントはその総額を上回ることになります。同社は2020年のローンチ以来、逮捕につながったインサイダー取引の疑いを含む批判に直面してきました。これらの事案で容疑者はいずれも無罪を主張しています。このプラットフォームでは、現実のイベントの結果についてユーザーが取引できます。

2026年8月、ポリマーケットは、ドナルド・トランプ・ジュニアがパートナーを務める1789 Capitalが主導する資金調達ラウンドで10億ドルを調達しました。同社の現在の評価額は210億ドルです。

全額返金を約束も、詳細は未定

ポリマーケットは全額返金を約束していますが、時期や請求手続きは公表していません。ユーザーは、どのアカウントが対象となるか、損失がどのように計算されるか、資金がいつ返還されるかの詳細を待っています。正確な攻撃手法、最終的な損失額、返金の仕組みといった未解決の疑問は、英国の法執行機関にも通報されたうえで、ポリマーケットの進行中の調査に委ねられています。インシデントの詳細な分析がポリマーケットチームから発表される見込みです。

出典：Blockonomi