Polymarketの登録システムにあった不備を悪用し、盗まれた個人情報を使った攻撃者が7月下旬、約500件の既存の米国口座を乗っ取った疑いが浮上した。連携していた決済手段も標的となった。
ポイント
- 登録時の不具合により、トレーダーの個人情報さえあれば、ユーザー名やパスワードなしで本人の実口座に入れてしまう状態だった
- 紐づいた銀行口座やデビットカードも閲覧可能となり、数千ドルの損失を訴える利用者もいた一方、サポートは長く沈黙した
- 2月には、盗まれたデビットカードを使い少なくとも1,000万ドルを動かそうとする不正の波が発生していた
Polymarket、登録不備でトレーダー口座が露出
土曜日に公表された新聞の調査報道によると、社会保障番号など既存トレーダーの個人情報を使って新規登録を行うと、そのまま当該トレーダーの実際のプロフィール画面に入れてしまったという。 報道
侵入者側に必要だったのは、ユーザー名もパスワードも、さらには乗っ取られた電話番号すらなかった。結果として、各プロフィールに紐づく銀行口座やデビットカードにもアクセスできる状態だった。
この件に詳しい関係者は、実際の被害額は小さいとしつつも具体的な金額は明かさなかった。一方、同社の広報担当者は、被害額についてはPolymarketが補償すると説明した。だが利用者側の証言は異なる。数千ドル規模の損失や、数週間にわたって返答のないサポート対応があったという。
あるトレーダーは、7月にログインしたところ、保有ポジションが売却され、5,783.51ドルの利益が本人所有ではないデビットカードに送金されていたと証言した。同社は当該口座に25ドルを入金したものの説明はなく、その後、本人確認情報を2回提出した後に口座を凍結したという。
あわせて読みたい: Nvidia 2030年予測、727ドルから28,560ドルまで開き
Checkout.comの警告、Coplan氏の対応に先行
この口座不備に先立ち、2月にはより広範な不正の波が起きていた。盗難デビットカードを多数の新規米国口座にひも付け、少なくとも1,000万ドルを移動させようとする動きが確認された。決済処理を担うCheckout.comは、一時的に入金の80％超を不正として拒否した。業界標準がおおむね1％であることを踏まえると異例の水準だった。その後、同社がデビットカードの登録数を口座ごとに制限し、不正対策業務をRiskifiedに委託したことで、不正率は5月までに平常水準へ戻った。
現在および元従業員によると、コンプライアンス担当者がこの問題をCEOのShayne Coplan氏に上げた際、同氏は「まず成長を優先し、規制当局に見つかったら罰金を払えばいい」と発言したという。報道に関係者の証言としてそう記されており、チームはその返答に驚いたとされる。
Polymarketのセキュリティ体制に疑義
アナリストの間では、現在約210億ドルの評価額で資金調達を目指す同社について、成長がコンプライアンスを追い越していないかとの疑念が出ている。なお、1,000万ドルという金額は実際の流出額ではなく、盗難未遂を含む試行ベースの数字だという点も指摘されている。Polymarketはシステムを強化したとしており、法律事務所Sullivan & Cromwellによる内部調査でも、同社は規制を順守していたと結論づけられた。
7月の不備は、同社にとって厳しい局面の締めくくりとなった。なお、登録バグについては公式の事後検証は公表されていない。6月には、侵害された外部ベンダーが同社サイトに悪意あるスクリプトを注入したことを認めており、攻撃者は利用者11人のウォレットから約310万ドルを流出させた。その後、同社は全額補償を約束した。
