Polymarketは、トレーダーが事前に承認されたウォレットにのみ出金できる新しい設定を追加した。

この機能は、ハッキングされたスクリプトによってユーザーのアカウントから約270万ドルが流出してから、約2週間後に導入される。

Polymarketの新しい出金ロック機能とは？

Polymarketのエンジニアリング担当バイスプレジデント、ジョシュ・スティーブンス氏は月曜日、トレーダーが事前に承認されたウォレットにのみ出金できる新機能を追加すると発表した。発表は、@devjoshstevensのアカウントからXへの投稿で行われた。

ユーザーアカウントに新しいウォレットアドレスを追加する手順は、わずか2段階です。トレーダーはメールでリクエストを確認し、その後48時間待つ必要があります。トレーダーがリクエストを開始していない場合は、そのメールから直接キャンセルできます。

この対策により、攻撃者はメール認証を通過し、必要な2日間を待たなければ、新しいウォレットに資金を送れなくなります。Stevens氏によると、攻撃者がユーザーの管理下にないアドレスへ資金を送れないようにすることが目的です。

しかし、このロック機能では、わずか2週間前にPolymarketで発生した侵害の根本的な問題は解決しません。そのハッキングでは、ユーザーアカウントから約270万ドルが引き出されました。Polymarketのサイト内で実行され、アクティブなセッションにアクセスできるサードパーティ製スクリプトを通じて行われました。

Cryptopolitanの過去の報道によると、Polymarketは今年6月にも同様の問題に直面しました。ベンダーのスクリプトを悪用した攻撃により、少なくとも11個のウォレットから約300万ドルが引き出されました。また、2025年12月には認証プロバイダーで発生した侵害により、ユーザーアカウントも被害を受けました。

これらの事例はいずれも外部プロバイダーが関与していましたが、同一の攻撃者によるものだと示すつながりはありません。

Polymarketへのハッキングはどのように起きたのか、そして今後どうなるのか？

10月29日、ウェブサイトの表示速度を監視する英国企業DebugBearのスクリプトが攻撃者に乗っ取られたため、Polymarketは国際プラットフォームでの取引を一時停止しました。スクリプトは、ウォレットから資金を引き出すように作られたコードに差し替えられました。

Hudson Rockの研究者らは、このコードが訪問者のPolymarketへのログイン状況を確認していたことを突き止めました。次に、残高と未決済ポジションを読み取りました。最後に、サイト独自の取引ツールを使ってポジションを売却し、その資金を攻撃者のウォレットに送金しました。

Hudson Rockはまた、Polymarketのサイトコードにスクリプトの削除記録が残っていたことも突き止めました。Polymarketは、この件を法執行機関に付託したと発表しました。

Bitqueryの報告によると、攻撃者はUTC時間17時10分から18時10分までの約1時間で、737のアカウントから273万ドルを奪いました。985回の出金が行われ、いずれも有効な承認を伴っていました。そのため、スマートコントラクトはそれらを正規のユーザー操作として処理しました。

あるアカウントは1回の出金で358,369ドルを失い、一方で276のアカウントではそれぞれ100ドル未満の被害にとどまりました。さらに33人のユーザーが、予測市場のシェアを奪われました。

Polymarketは全ユーザーに全額補償すると発表しましたが、損失が10,000ドル未満の人から先に返金されます。

BinanceとPolymarketは、Polygonのバリデーターにもハードフォークの承認を求めています。ハードフォークとは、すべてのバリデーターが採用しなければならないネットワークソフトウェアの変更です。今回の変更では、攻撃者のウォレットから凍結されたPOLトークン約7,049万枚（約650万ドル相当）を移動させる予定です。提案は11月4日に投稿され、11月5日のPolygonガバナンス会議で提示されました。投票と実施日はまだ決まっていません。

他の企業もセキュリティ対策を強化しています。火曜日、セキュリティ企業CertiKは、63億ドル相当のBinanceハッキングを受け、取引所はコールドストレージの比率だけに頼るのではなく、ホットウォレットに保管する金額に厳格なドル建て上限を設けるべきだと述べたと報じられました。

この記事を読んでいるあなたは、すでに一歩先を行っています。ニュースレターを購読して、その先を進みましょう。