Polymarketは2026年10月29日、第三者監視スクリプトの侵害により一時的に取引を停止した後、国際取引所での取引を再開しました。同プラットフォームは新規注文を停止し、リレイヤー活動を中断し、顧客への返金を約束しました。同社が運営する別の米国プラットフォームには影響はありませんでした。

ライブ取引セッションに侵入した監視スクリプト

サイバーセキュリティ企業Hudson Rockは、DebugBearのReal User Monitoring(RUM)スクリプトに組み込まれた15,187バイトの悪意あるペイロードを発見しました。RUMスクリプトは一般的なウェブサイトパフォーマンス測定ツールで、サイト運営者が埋め込むことで訪問者のブラウザ内で実行され、実際の条件下でのページ読み込みを測定します。このコードは保存されたアカウント情報にアクセスし、トレーダーが使用している認可済みクライアントを特定し、ポジションの売却やトークンの送金を試みる可能性がありました。

その後、PolymarketのウェブサイトコードからはDebugBearスクリプトが削除されたことが確認されており、この攻撃はプラットフォームのスマートコントラクトの欠陥ではなく、ウェブサイト上で実行されているコードを悪用したことを示唆しています。Hudson RockはInfoStealersブログのレポートで調査結果を公表しました。

キャンセルのみモードから米東部时间午後3時の取引再開へ

Polymarketは2026年10月29日、国際取引所をキャンセルのみモードに設定しました。ステータスアカウントは、プロバイダーが侵害されたこと、および事件が英国の法執行機関に通报されたことを伝えました。

同日の米東部时间午後3時頃、取引所での取引が再開しました。同社は返金方針も発表しました。CNBCの報道によると、損失が1万ドル未満の顧客は2026年10月30日までに返金を受け取る見込みです。それを超える損失を被った顧客は、まず免責同意書に署名する必要があります。Polymarketは返金計画を伝えているものの、実際に返金が実行されたことは確認していません。

DebugBearは顧客にコードの削除を呼びかけ

DebugBearもセキュリティ問題を認めました。同社は2026年10月29日、専門の対応チームが調査を進める間、顧客に対して監視コードの削除を呼びかけました。

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

この警告はより広範な懸念を浮き彫りにしました。第三者スクリプトは正当なウェブサイト内で実行される可能性があり、侵害された場合、ユーザーのアクティブなブラウザセッションにアクセスされるおそれがあります。この注意喚起はRUM埋め込みコードを実行するあらゆるウェブサイトを対象としていたため、単一の侵害されたベンダースクリプトが多数の無関係なサイトを一度に危険にさらしうることも示しました。

予備的な損失推定と確定損失の比較

現時点で金銭的損害は依然として不明です。CNBCの報道によると、Betting IntelligenceとPolysightsは2026年10月29日、710のウォレットにわたる少なくとも270万ドルの出金を追跡しました。一方、Hudson Rockはフォールバック受取アドレスで約219万ドルを特定しましたが、この残高は盗まれた金額を裏付けるものではありません。Polymarketは損失総額をまだ確認していません。

過去2件のベンダー事故、共通の原因は確認されず

これはPolymarketにとって初めてのベンダー関連セキュリティ問題ではありません。2026年6月、HalbornとTechCrunchは悪意あるスクリプト攻撃を報じ、少なくとも11のウォレットから約300万ドルが流出したと伝えられました。当時もPolymarketは返金を約束していました。

それ以前の2025年12月には、別の認証プロバイダーの侵害がユーザーのアカウントに影響を及ぼしました。この事件はCryptopolitanとCertiKの双方が記録しています。

3件すべてが外部プロバイダーに関係していますが、同一の攻撃者や根本原因に結びつける証拠はありません。

ベンダーへの繰り返される露出が業界に意味するもの

こうした相次ぐ事故は、予測市場の取引活動が拡大する中で発生しています。Artemisに基づくレポートは、2026年9月に追跡対象市場全体で764億6000万ドルの取引高を記録し、そのうちPolymarketが131億2000万ドルを占めたとしています。これらの数値は取引活動を示すものであり、保有資産ではありません。

この成長により、セキュリティ懸念が一層鮮明になっています。CertiKは、従来型のウェブサービスとブロックチェーン技術を組み合わせるプラットフォームであっても、中央集権的な脆弱性を抱えうると警告しています。こうしたリスクは機関投資家の参入をためらわせる可能性もあります。Jefferiesによると、ヘッジファンドは関心を示しているものの慎重であり、流動性、コンプライアンス、評判に関する懸念が引き続き足かせとなっています。

一方、KPMGは、ベンダー、ブローカー、取引所、クリアリングハウスの責任の違いを指摘しています。米国の規制対象取引所は監視、システム保護、参加者保護の要件を満たす必要がありますが、これらの規則はPolymarket Internationalには自動的に適用されません。

Polymarketにとって、取引の復旧は課題の一部にすぎません。より大きな試練は、外部プロバイダーに起因するリスクを管理し、ユーザーの信頼を回復できるかどうかにあります。今後の注目点としては、1万ドル未満の返金が発表どおり10月30日までに到着するか、高額請求に対する免責同意書のプロセスがどう進むか、同社が損失総額を確認するか、そして英国の法執行機関への通报と進行中の調査が何をもたらすかが挙げられます。