予測市場プラットフォームのPolymarketは、利用者口座からの無許可の資金引き出し報告を受け、新規注文とリレイヤー操作を停止しました。同社は第三者提供者の侵害と説明し、既存注文の取消のみ可能な状態へ切り替えたうえで、影響を受けた利用者を補償する方針を示しています。
- Polymarketは新規注文とリレイヤー操作を停止しました。
- Polymarketで既存注文の取消のみ可能なキャンセル専用状態
- Arkhamのデータでは、疑いのあるウォレットに約265万ドル相当のPOL
- Polymarketが示した影響利用者への補償方針
キャンセル専用化とリレイヤー操作の停止
Polymarketでは、利用者の口座から許可なく資産が引き出されたとの報告を受け、取引所をキャンセル専用の状態に切り替えました。この状態では既存注文の取消はできる一方、新規注文は出せません。
あわせて、利用者が署名した取引をブロックチェーンへ送るリレイヤー操作も停止されています。同社はXへの投稿で、第三者提供者が侵害を受けたと説明し、関係する法執行機関へ連絡したこと、影響を受けた利用者を補償する方針を示したことを明らかにしました。
疑いのあるウォレットへのPOL集積
ブロックチェーン分析サービスのArkhamのデータでは、攻撃者のものと疑われるウォレットが約265万ドル相当のPOLを保有していました。POLはPolygonネットワークで使われるトークンです。
このウォレットには、USDC.eからPOLへ交換する取引が複数回記録されています。取引は、異なるブロックチェーン間の交換を扱うRelayを通じて実行されたとされています。ただし、ウォレットの保有額や取引記録だけでは、侵害の経緯や資金の最終的な移動先までは示されていません。
DebugBear上のスクリプトに関する指摘
セキュリティ企業Hudson Rockは、ウェブ性能監視サービスのDebugBearから読み込まれたスクリプトに、ログイン済み利用者の取引セッションを探し、保有ポジションの売却と資産移転を試みるコードが含まれているように見えると指摘しました。
同社によると、そのスクリプトには前述のウォレットアドレスが資金の送付先として組み込まれており、Polymarketの本番サイトのコードには当該スクリプトが削除された記録もあるとされています。一方でHudson Rockは、侵害が始まった経緯と影響を受けた利用者数は確認できていないとしました。
過去の流出事例と未確定の範囲
Polymarketでは、今回より前にも内部の入金用ウォレットの秘密鍵侵害で約70万ドルが流出した事例や、第三者ベンダーへの侵害を通じて悪意あるコードがフロントエンドへ挿入され、15未満の口座から約300万ドルが流出した事例が伝えられています。後者について同社は、利用者への全額補償を約束していました。
今回の原因について、Polymarketは詳しい説明を示していません。現時点で公表されている情報では、取引制限とリレイヤー停止、第三者提供者の侵害、疑いのあるウォレットに関する観測が確認されています。
