分散型予測市場プラットフォーム大手のPolymarketは、推定265万ドルを流出させたと報じられた不正利用(exloit)を受け、2026年10月29日にすべての取引を停止しました。同社は、このインシデントについて、自社のスマートコントラクトへの直接の侵害ではなく、第三者プロバイダーの侵害が原因であると説明しています。

不正利用の報告を受けプラットフォームがキャンセルのみモードに移行

不正利用が報告された直後、Polymarketはプラットフォームをキャンセルのみのモードに切り替えました。このモードでは、ユーザーは既存ポジションをキャンセルできますが、新規のベットや流動性の追加はできません。この運用停止は、プラットフォームによる即時の封じ込め対応であり、The Blockのこのインシデントに関する報道によるものです。

予測市場に馴染みのない読者のために、このモードの仕組みについて解説します。これらのプラットフォームは、進行中のイベントの確率を反映するために双方向の継続的な取引に依存しているため、キャンセルのみの状態では、イベントの展開に応じて市場が更新されることなく、既存ポジションが最後に評価された価格で実質的に固定されます。

報道された265万ドルという金額は、この不正利用で移動したとされる資金の規模を示しています。本レポート時点で、これらの資金がプラットフォームの金庫、個々のユーザー、流動性プロバイダーのいずれに帰属するものかは公に確認されていません。

今回のセキュリティ上の不備は、すでに注目を集める事業に新たな評判面の懸念を加えることになりました。Polymarketは以前より、予測市場の仕組みをめぐって規制当局の監視を受けており、その中には、米国の先物・デリバティブ市場を監督する連邦機関である米商品先物取引委員会(CFTC)が予測市場のルールをどのように執行するかという問題も含まれています。

同社は「コアコントラクトではなく第三者プロバイダーが侵害された」と説明

Polymarketの公式説明によれば、今回の不正利用の侵入経路は、同社のスマートコントラクトやコアインフラではなく、侵害された第三者プロバイダーであるとされています。この区別は重要です。潜在的な責任や復旧の責任が、Polymarketの開発チームではなく外部ベンダーに移る可能性があるためです。

本レポート時点で、同プラットフォームは被害を受けたプロバイダーの名称を公表していません。また、第三者侵害の主張についての独立した検証も完了しておらず、攻撃ベクトルを裏付けるオンチェーンフォレンジック分析も公開されていません。

オラクル、フロントエンドインフラ、ブリッジサービスなどの第三者統合は、過去のDeFiインシデントにおいて不正利用の侵入経路となってきました。こうした依存関係が注視されるのは、オフチェーンの構成要素がプラットフォームに代わってオンチェーン上の操作を中継したりトリガーしたりすることが多く、コアコントラクトが無事であっても標的となり得るためです。今回の具体的な技術的メカニズムは未確認であり、Polymarketの説明は独立した検証済みの所見ではなく、あくまでプラットフォーム側の公式見解として扱うべきです。

取引停止がユーザーとオープン市場に与える影響

キャンセルのみモードでは、プラットフォーム上のすべてのアクティブな予測市場は新規ポジションに対して凍結されます。進行中のイベントにポジションを持つユーザーは、取引が正式に再開されるまで、ポジションの追加や新規のオープンはできず、決済が近づいている市場は決済時期の不確実性に直面します。

長期にわたる停止の経済的影響は甚大です。Polymarketでは最近、大きな流動性を集めたFOM金利決定市場が開催されていました。取引再開の時期や、ユーザーへの潜在的な補償プログラムの範囲は、公開時点で発表されていません。

このインシデントは、業界全体のより広範な傾向も浮き彫りにしています。暗号資産プラットフォームがインフラ統合を拡大し第三者製の金融ソフトウェアに依存するにつれ、近年、潜在的な攻撃対象領域が拡大しています。同様の依存関係を持つ大手プラットフォームも同等のリスクに直面しており、今回の出来事はその傾向を裏付けるものです。

インシデントの概要と未解決の疑問

• 報道された不正利用額：265万ドル(2026年10月29日報道)
• プラットフォームの対応:Polymarketはキャンセルのみモードに移行し、すべての新規取引活動を停止
• 原因の帰属:Polymarketは第三者プロバイダーが侵害されたと説明。プロバイダーの名称は未公表で、独立した検証は未了
• 未解決の疑問：ユーザー資金への影響の有無、関与したプロバイダーの特定、取引再開の時期

Polymarketが詳細な事後分析(post-mortem)を公表し、被害を受けたベンダーを特定するまで、ユーザーは取引再開の見通しや再発防止策に関するプラットフォームの公式発表を注視すべきです。こうした情報開示こそが、同社がこのインシデントにどのように対処する意向かを示す最重要の指標となります。

免責事項：本記事は情報提供のみを目的としており、金融・投資助言を構成するものではありません。暗号資産およびデジタル資産市場には重大なリスクが伴います。意思決定の前に必ずご自身で調査を行ってください。