Cointribuneの報道によると、第三者のスクリプトが侵害され、攻撃者がユーザーのポジションを売却し、無断で資金を移動できる状態になったため、Polymarketは2026年10月29日に約1時間、取引を停止しました。700を超えるアカウントで、損失額は少なくとも260万ドルと推定されています。

トレーダーからは、無断でポジションが売却され、残高が引き出されたとの報告がありました。80万ドルを失ったというユーザーや、アカウントの60万ドル全額が引き出されたユーザーもいました。Polymarketは被害を受けた全員に補償すると約束し、英国当局にこの件を報告したと述べています。

主な事実

• 事件は10月29日、国際取引プラットフォームのPolymarket.comで発生しました。すべてのサービスが復旧する前に、取引は「キャンセルのみ」モードに切り替えられました。

• Cointribuneは、700を超えるアカウントが影響を受け、被害額は少なくとも260万ドルに上ると報じました。一方、CoinCentralは、DeFi Llamaの追跡データに基づき、損失額を約270万ドルと伝えています。各メディアの報道に一致した総額はなく、Polymarketも最終的な数字を公表していません。

• Cointribuneが引用したオンチェーン分析によると、2,860万POLトークン（約257万ドル相当）が複数のウォレットに分散していました。

• PolygonブロックチェーンとPolymarketの中核となるスマートコントラクトは侵害されていません。攻撃は、英国企業DebugBearが提供した監視スクリプトを経由しており、同社は「継続中のセキュリティインシデント」を認めています。

• Cointribuneによると、6月にも別の侵害事件が発生しました。このときは別のサードパーティー事業者が侵害され、15未満のアカウントから約300万ドルが盗まれました。CoinCentralは、6月の被害総額を290万ドル超としています。

壊れたチェーンではなく、追跡スクリプト

Cointribuneによると、最初のオンチェーン分析では、読み込み時間を測定するため、顧客のページに埋め込まれたスクリプトを使うリアルユーザーモニタリングサービスを提供する英国企業、DebugBearが浮上しています。同社のインフラが侵害された後、スクリプトが悪意あるコードを実行するよう置き換えられた、または改変されたと報じられています。このコードは訪問者がPolymarketにログインしているかを確認し、アクティブなセッションを使ってポジションを売却し、資産を移転しました。DebugBearは顧客に対し、埋め込みコードを削除するよう求めています。

この違いは、事件をどう理解するかに関わります。攻撃者はオンチェーン取引を偽造したわけでも、予測市場のコントラクトのロジックを破ったわけでもありません。操作を準備し、承認するウェブ層を乗っ取ったのです。Hudson Rockの研究者は、悪意あるコード内で資金の受取先として使われたアドレスを特定しました。

2度の侵害、共通する弱点

CoinCentralによると、Polymarketはサードパーティー事業者の1社が侵害され、同社のPredictions Trading APIで「大規模な障害」が発生したと発表しましたが、声明では事業者名を明らかにしませんでした。またCoinCentralは、木曜日のUTC午後7時5分時点で、プラットフォームのステータスページに全システムが稼働中と表示されていたと伝え、Shayne Coplanを創業者兼CEOとして紹介しました。

2つの事件はいずれも同じパターンをたどっています。侵入経路となったのはPolymarket自身のシステムではなく、外部の事業者でした。Cointribuneによると、数カ月の間に起きた2件の損失を合わせると、約560万ドルに上ります。

重要な理由

補償によってトレーダーの直接的な金銭的損失は抑えられますが、変動の激しい市場で決済されたポジションを元の状態に戻すことはできません。侵害の影響を受けたユーザーは、カストディアルではないプラットフォーム上で資金を保有していました。それでも、有効なセッションと侵害されたスクリプト1つだけで資金を動かすことができました。ウォレットを自分で管理しているだけでは、このリスクを防げないことが示されています。今回の再発を受け、注目は単一のベンダーの不具合から、Polymarketが自社サイトで実行されるスクリプトをどう管理しているかへと移っています。

今後の注目点

Polymarketは最終的な損失額や補償条件を公表しておらず、Cointribuneによると、被害者の正確な人数もまだ確定していません。補償額をどのように算定するのか――移転された資金だけを対象にするのか、同意なく売却されたポジションの価値も含めるのか――が、次に注目すべき具体的な点です。

初出掲載：CoinPulseHQ：https://coinpulsehq.com/polymarket-hack-700-accounts-2-6-million/