Polymarket、第三者プロバイダー侵害で250万ドル超流出、取引を一時停止

Polymarketが第三者プロバイダー侵害により取引を一時停止。250万ドル超が流出した。

予測市場のPolymarketは2026年10月29日、第三者プロバイダーの侵害により250万ドル超の資産が流出したとして、取引を一時停止した。同社はX上でこの事実を公表し、関係当局に通報したと述べている。

Polymarketの発表によると、国際プラットフォームPolymarket.comに影響を与える問題を特定して修正したものの、慎重を期して取引を一時停止したという。「第三者プロバイダーの1社が侵害され、関係する法執行機関に通報した」と同社は説明している。 また「影響を受けたすべてのユーザーを補償する」と述べた。

被害は250万ドル超、取引所はキャンセルのみの状態

数分のうちに250万ドル超が流出したと伝えられている。Polymarketの取引所は現在キャンセルのみの状態（cancel-only mode）で、既存注文の取り消しはできるものの、新規注文や取引は処理されず、リレイヤー操作も停止中だ。

オンチェーンデータでは、攻撃者の疑いがあるとされるウォレット0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18が、PolygonのネイティブトークンPOLを約265万ドル分保有している。このウォレットはRelayを経由してUSDC.eからPOLへのスワップを複数回受けており、その後資金を別のアドレスへ移動させたと伝えられている。被害額の確定値はまだ出ておらず、各数字はいずれも暫定的なものだ。第三者を経由する資産流出は、仮想通貨詐欺・事件ニュースで繰り返し報じられるテーマだ。

侵害されたプロバイダーは未公表、プラットフォーム再開の時期も未定

Polymarketは侵害された第三者プロバイダーの名称も明らかにしていない。取引再開の時期についても言及がない。セキュリティ企業Hudson Rockの調査者らは、Webパフォーマンス監視サービスDebugBearから読み込まれるスクリプトに、ログイン中のユーザーの取引セッションを探してポジションを売却し資産を移転させるコードが含まれていたと指摘している。このスクリプトには攻撃者ウォレットのアドレスがフォールバック受取先として組み込まれており、Polymarketの本番サイトのコードにはスクリプトの削除が記録されているという（Hudson Rockの調査に基づく報道であり、Polymarket自身による確認ではない）。

Polymarketにとってこれは約5か月で3件目の事故である。2026年5月には秘密鍵の侵害で内部ウォレットから約70万ドルが流出し、6月には第三者ベンダーの侵害を入口としてフロントエンドに悪意あるコードが注入され、15口未満のアカウントから約300万ドルが盗まれた。