第三者プロバイダーの不正アクセスにより約2.65万ドルが流出したことを受け、ポリマーケットは国際プラットフォームでの取引を停止した。

@Polymarketは、ユーザーから不正な出金報告があったことを受け、木曜日に国際取引所をキャンセル専用モードに切り替えた。同社は、提携している第三者プロバイダーの1社が侵害されたと説明し、この件を法執行機関に報告するとともに、影響を受けたすべてのユーザーに全額補償することを約束した。取引は東部時間午後3時頃に再開された。

この事件は、ポリマーケットの米国取引所ではなく、同社の国際プラットフォームに影響を与えた。Prediction Newsは、CFTC（商品先物取引委員会）の規制を受ける米国法人ではなく、海外プラットフォームが被害を受けたと報じた。

何が起こったのか、そしてポリマーケットはどのように対応したのか

Unchainedによると、取引所は東部時間午後2時5分までにキャンセル専用モードになり、リレーヤーの操作は一時停止された。東部時間午後2時33分、Polymarketは国際プラットフォームに影響を与えていた問題を修正し、サードパーティプロバイダーの1つが侵害されたこと、そしてこの件は法執行機関に報告されたことを発表した。同社のステータスページには、東部時間午後3時5分にこの事件が解決したと記載された。

キャンセル専用モードでは、ユーザーは未決済の注文をキャンセルできますが、新規注文や取引は処理されません。Polymarketはその後、取引が完全に再開され、影響を受けたすべてのトレーダーに全額払い戻しを行っていると発表しました。

Polymarketは損失額やプロバイダー名を公表していない。Decryptが引用したブロックチェーン分析会社Arkhamのデータによると、攻撃者と思われるウォレットには、Relayを介した複数のUSDC.eからPOLへのスワップの後、約2.65万ドル相当のPOLが保有されている。他のトラッカーは損失額をやや高く見積もっており、crypto.newsが報じたところによると、あるソーシャルメディアアカウントは2.68万ドルの損失を主張している。

RG.orgの報道によると、この件に詳しい関係者がCNBCに語ったところによると、問題は英国を拠点とするウェブサイトパフォーマンス監視会社DebugBearへのハッキングに起因するとのことだ。DebugBearは、現在進行中のセキュリティインシデントの影響を受けており、同社のリアルユーザー監視製品を使用している顧客に対し、埋め込みコードを削除するよう求めた。Polymarketは、当該プロバイダーの身元を確認していない。

6月以降2度目のベンダー関連攻撃

今回の情報漏洩は、6月に発生した同様の事件に続くものです。セキュリティ企業のHalbornは、サプライチェーン攻撃によりPolymarketのユーザーが推定300万ドルの損失を被ったと報告しました。この攻撃では、攻撃者がサードパーティベンダーを侵害し、Polymarketのフロントエンドに悪意のあるコードを挿入しました。The Defiantは、同社が影響を受けた15未満のアカウントに全額返金すると約束したと報じています。

この繰り返されるパターンは、暗号資産プラットフォームにとってより広範なリスクを示唆している。外部ベンダーを経由する攻撃はスマートコントラクトコードを完全に回避できるため、プラットフォーム独自の監査では検出できない可能性がある。Polymarketは、今回のインシデントに関する詳細な技術レポートをまだ公開していない。

ソース

事態は収束：ポリマーケットが取引を再開、トレーダーへの払い戻しを約束
Decrypt：予測市場がセキュリティインシデントを調査するため、Polymarketが取引を一時停止
ハルボーン：解説、ポリマーケット・ハッキング事件（2026年6月）