ハッカーがPolymarketの737口座から273万ドルを1時間で流出

10月29日、Polymarketに対する組織的な攻撃で737のユーザー口座から約273万ドルが1時間以内に流出した。有効なウォレット承認が、スマートコントラクトを破ることなく引き出しを可能にした。Polymarketは390万ドルの返金・補償を発表した。ブロックチェーン調査は、予測市場プラットフォーム自身のインフラを通じた約1000件の不正引き出しを追跡した。 Bitqueryの調査によると、攻撃者は協定世界時17時10分から18時10分の間に985件の引き出しを実行した。スマートコントラクトの脆弱性を悪用したのではなく、有効なウォレット承認を利用した。資金はPolygonのPOLトークンに交換され、複数のウォレットに分散された後、一部はイーサリアム方面へ移された。 攻撃の手口として、BitqueryはPolymarket公式のトランザクションリレーヤー経由で自動化された一連の引き出しを確認した。このリレーヤーは、トレーダーが直接ネットワーク手数料を支払うことなく、ユーザー承認済みのブロックチェーン取引を送信する。承認は基盤のスマートウォレットには正当に見えた。30件の引き出しを抽出した調査では、取引は承認生成からわずか3～7秒後に実行されており、自動化された活動を示唆した。 単一口座の最大損失は約35万8000ドル。4口座で盗難総額の43％を占めた。276口座の損失はそれぞれ100ドル未満だった。 今回の攻撃は、少なくとも11のウォレットで約294万ドルの損失を出した6月の侵害に似る。当該事案でも、侵害された第三者依存関係を通じて悪意あるコードが持ち込まれた。Polymarketは以前にも外部認証プロバイダーに関連する口座侵害を経験しており、基盤のブロックチェーン契約が健全でも、プラットフォームに接続するサービスが標的になり得ることを示している。 調査チームはPolygonとイーサリアムにまたがって盗難資金を追跡した。攻撃者が管理するアドレスは約2864万POLを受け取り、その後3つの新規ウォレットに分散された。一部資金はRelay、deBridge、Polygonのネイティブブリッジを通じてイーサリアム方面へ移動した。調査の協定世界時19時49分時点で、約217万ドルが3つのPolygonウォレットに残り、別に特定されたイーサリアムウォレットには126.10ETHが保有されていた。攻撃者は33口座の予測市場ポジションも移し、盗んだ一部のポジションを売却するため新しいPolymarket口座を作成した。 異例の点はPolymarketの対応に関するものだ。Bitqueryは、同社が問題を修正したと発表した約38分後の協定世界時19時11分に、別の10.99ドルの引き出しを確認した。この取引は脆弱性が一般に悪用可能なままだったことを証明するものではないが、修正対応のタイミングに疑問を残す。 Polymarketの公式インシデント報告では、攻撃者が第三者のウェブサイトスクリプトを悪意あるコードに置き換え、プラットフォームを開いていたユーザーを標的にしたと確認された。同社はスクリプトを削除し、キャッシュを消去、アクティブセッションをリセットし、取引を一時停止した。その後、影響を受けたウォレットの95％で全額返金が完了し、返金総額は390万ドルに達すると報告した。 今回の侵害は、市場の健全性や機密性の高い取引情報の扱いを巡りすでに監視の目にさらされる予測市場セクターに、新たなセキュリティ上の懸念を加える。ブロックチェーン契約が正しく機能していても、侵害された外部ソフトウェアが被害につながる取引を承認し得るという、分散型金融アプリケーション全般のリスクも浮き彫りにした。Polymarketを巡る過去のセキュリティ懸念は、真のインフラ侵害と他の報告された脅威を区別することの重要性を示している。