Polymarket、外部スクリプト攻撃でトレーダーに返金

polymarket.comで読み込まれていたパフォーマンス監視用のスクリプトが10月29日に悪意のあるコードにすり替えられ、トレーダーが開いていたセッションを使って、ポジションを売却し、ウォレットから資金を移動させた。 Polymarketはトレーダーに390万ドルを返還するとしており、事案を捜査当局に付託したと説明している。被害を受けたのはPolymarketの国際版の暗号資産取引所だ。CNBCによると、同社の米国向けプラットフォームは侵害されていない。

Polymarketが認めた内容

PolymarketのVP of Engineeringであるジョシュ・スティーブンス氏は、攻撃についてXに投稿し、メインアカウントの@Polymarketが10月30日にそれを再投稿した。「昨日、polymarket.comで使われていた外部事業者のパフォーマンス用スクリプトが、その提供元を狙った攻撃者によって乗っ取られ、当社のユーザーを標的にしたスクリプトにすり替えられました。ごく短い時間、このスクリプトは開いていたセッションを使ってポジションを売却し、資金を移動させました。提供元は侵害を公表して認めています。」

Polymarketのステータスページによると、同取引所は10月29日の米東部時間14時5分〜15時5分（日本時間では10月30日午前3時5分〜4時5分）、注文の取り消しのみが可能なモード（cancel-only）に入り、リレイヤー（ユーザーの取引をブロックチェーンへ中継するサービス）の動作も止まっていた。Polymarketは、侵害されたスクリプトを「1時間以内に」取り除き、キャッシュを消去して、有効なログインセッションをすべてリセットしたと述べている。

Polymarketは10月30日の夜に公表した事後報告（ポストモーテム）で、こう述べている。「当社はトレーダーに総額390万ドルを返還します。270万ドルに、取引停止中の損失を補う120万ドルを加えた額です。」 追加分は、スクリプトによって強制的に売却されたポジションと、取引停止中に価値が下がったポジションをカバーする。同日の早い時間には、@PolymarketTradeアカウントが、影響を受けた726のウォレットのうち689が全額返金済みで、残る37は確認が済み次第支払われていると伝えていた。事後報告では、影響を受けたウォレットの95%としている。Polymarketは、請求やチケットは不要だとしており、金額に誤りがあると考えるトレーダーには、事後報告にリンクされたフォームを案内している。

ほかの報道

10月30日時点で、Polymarketは投稿でも事後報告でもベンダーの名前を挙げていない。BleepingComputerとセキュリティ企業のHudson Rockは、スクリプトはウェブサイトの性能監視を手がけるDebugBear社のものだとしており、根拠として「remove debugbear rum script」というタイトルのPolymarketのコード変更を挙げている。CNBCも、事情に詳しい関係者の話として同じ関連を伝えている。DebugBear自身は10月29日に、「継続中のセキュリティインシデントの影響を受けている」と投稿し、Real User Monitoring（RUM）製品の利用者に埋め込みコードを削除するよう求めた。DebugBearは10月31日の未明（中央ヨーロッパ時間）に続報を投稿し、自社のDNSレコードがドメインレジストラ経由で侵害されたと明らかにした。また、「初期調査に基づくと」、攻撃は「特定の顧客のウェブサイトを標的にした」と述べている。

BubblemapsとBleepingComputerは10月29日、Polymarket自身の数字が出る前に推計を公表した。Bubblemapsは「700人超のユーザーが資金を抜かれた」と数え、CNBCが引用する分析会社は710のウォレットと数え、BleepingComputerは約2,860万枚のPOLトークン（価値は約257万ドル）が攻撃者に結びつくウォレットへ流れたと追跡した。Polymarket自身の数字は270万ドルと726のウォレットだ。

CNBCはさらに、PolymarketがDiscordでユーザーに対し、損失が1万ドル未満の人には10月30日までに資金を戻し、それを超える損失には署名済みの免責同意書（release）が必要になると伝えたと報じている。Polymarketの10月30日の投稿と事後報告は、請求やチケットは不要だとしており、免責同意書には触れていない。

この種の事案は初めてではない。2026年6月にも、Polymarketは外部ベンダーが侵害され、一部のユーザーに向けてフロントエンドへ悪意のあるスクリプトを仕込まれたと説明していた。CoinDeskはブロックチェーン分析会社のAMLBotを引用し、当時の損失を11のウォレットから約310万ドルと伝えた。

私たちの見方

ギャンブルやベッティングのサイトに暗号資産を置いている人にとって重要なのは、攻撃がどこで行われたかだ。Polymarketによれば、悪意のあるコードは同社自身のサイト上で動き、すでにログイン済みのセッションを使った。サイトの偽コピーではなく、Polymarketもスマートコントラクトの欠陥とは説明していない。この種のサプライチェーン攻撃は、利用者が見抜くのが難しい。使っていないセッションからログアウトし、必要以上の残高をプラットフォームに置かないことで、リスクは下げられる。被害を受けた人は、返金に関する情報をPolymarket公式の窓口だけで確認したい。こうした事案には、偽の「返金」連絡がつきものだ。

別の暗号資産関連の事案はGamdomのホットウォレット侵害で、Polymarketの米国向け取引所については盗難カードの不正利用と同一出所からの出金で取り上げた。規制面では、ミシガン州とPolymarketのスポーツ契約とノルウェーのDNSブロック通知を参照してほしい。

利用可否： Polymarketの国際版取引所は複数の国でブロックまたは制限されており、利用できるかどうかは居住国によって異なる。