Polymarket、不正出金の報告受け取引を一時停止

Polymarketは、ユーザーから不正な出金報告が相次いだことを受け、取引を注文のキャンセルのみに制限し、リレイヤー機能を停止した。ユーザーは予測市場のフロントエンドが侵害された可能性を指摘している。同社はセキュリティインシデントを調査中だ。ステータスページには取引APIに影響する大規模障害が掲載されている。 既に発注済みの注文はキャンセルできるが、新規注文は出せない状態が続く。停止中のリレイヤー機能は、ユーザーが署名したトランザクションをブロックチェーンに送信する役割を担う。 CarOnPolymarketとして知られるトレーダーは、不正出金により80万ドルを失ったと述べた。他のアカウントも被害に遭い、知人は約60万ドルを失ったという。ユーザーに対し、アカウントの保護とウェブサイトへのアクセス回避を呼びかけた。 Arkhamのデータによると、攻撃者とみられるウォレット0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18には約265万ドル相当のPOLが確認された。POLはPolygonのネイティブトークン。同ウォレットは直近、クロスチェーン交換サービスRelayを通じてUSDC.eをPOLに複数回交換した記録がある。USDC.eはステーブルコインUSDCのブリッジ版だ。取引は約1時間前に初めて確認され、その後5分間は動きが止まっている。 Hudson Rockの調査によると、ウェブパフォーマンス監視サービスDebugBear経由で配信されたスクリプトに、ログイン済みユーザーの取引セッションを標的とするコードが含まれていた。ユーザーのポジションを売却し、資産を送金しようとする内容で、攻撃者とみられるウォレットが送金先としてハードコードされている。Polymarketの本番サイトのコードには同スクリプトの削除記録がある。侵害の起点や影響を受けたユーザー数は特定されていない。 Polymarketは原因を特定していない。5月には秘密鍵の漏えいで社内のトップアップ用ウォレットから約70万ドルが流出。1カ月後にはサードパーティベンダーの侵害により、攻撃者が悪意あるフロントエンドコードを挿入し、15アカウント未満から約300万ドルを窃取した。同社はこの件で全額返金を約束している。