995個のPolymarketアカウントが乗っ取られた。今回の攻撃は、多くの人の幻想を本当に打ち砕くものだった。

偽のドメインも、フィッシング用のエアドロップもなかった。ユーザーが開いたのは、正規のpolymarket.comだった。
問題は、サイトに埋め込まれたサードパーティ製の速度測定ツール、DebugBearのスクリプトが汚染されていたことだ。スクリプトはブラウザー内でユーザーのログインセッションを直接取得し、自動で操作を実行した。
まず、保有ポジションをすべて市場価格より3%安く売り浴びせ、売れなければ半値にし、最後は最低価格まで下げて売り払う。
次に、残高をすべてPOLに換えて攻撃者に送金する。
ステーブルコインなら凍結できる可能性があるが、POLには凍結する手段がない。

スクリプトはデータも送信していた。ウォレットアドレス、所在地、アカウントの規模、送金が成功したかどうか、そのすべてが攻撃者の手に渡った。
攻撃者のウォレット残高は45分でゼロから200万ドルに膨れ上がり、Conor Groganの集計によると、最終的な損失額は265万ドルに達した。
あるトレーダーは、自分の80万ドル分のポジションがシステムによって自動で決済されるのを目の当たりにし、友人も60万ドルを失った。

事件後、Polymarketは緊急にキャンセル専用モードへ切り替え、中継器を停止し、全額補償を約束した。この点は評価できる。

しかし、今年に入って同種の事故はこれで3度目だ。
5月には約70万ドル、6月には300万ドルが盗まれた。いずれも、サードパーティ製スクリプトの侵害によるフロントエンドのサプライチェーン攻撃だった。

私自身、フィッシングに遭い、アカウントを乗っ取られたこともある。この界隈に長くいるので、リスクが常につきまとうことはとうに知っていた。
だが、今回の被害者たちは何も間違ったことをしていない。ただ普通に公式サイトを開いただけだ。

最も皮肉なのは、私たちが10年かけてスマートコントラクトを磨き、ブロックチェーンを監査し、基盤となる暗号技術は破られないと吹聴してきたことだ。
それなのに、目立たないページ速度測定スクリプトひとつが、ユーザーの資金をそのまま奪い去った。$HYPE