予測市場プラットフォームPolymarketは、攻撃者が 第三者フロントエンドを侵害 し、11のユーザーウォレットから資金を流出させたことで、310万ドルの損失を被った。
プラットフォーム自身の監査済みスマートコントラクトは、このインシデントを通じて一切侵害されなかった。
報道 によれば、盗まれたPUSDトークンは、クロスチェーンブリッジを介して Polygon（POL）から Ethereum（ETH）へ移動されたという。 Polymarketは、侵害されたベンダーの名称を公表していない。
攻撃の仕組み
フロントエンドベンダーへの攻撃は、ユーザーをプラットフォームの基盤となるコントラクトへ接続する Webインターフェースを標的にする。資金を保持・管理しているのはスマートコントラクトだが、 ユーザーはサードパーティのソフトウェアプロバイダーが構築・維持するブラウザベースのレイヤーを通じて それらとやり取りする。
今回のケースでは、攻撃者はそのインターフェース層に悪意あるコードを注入したとみられる。 攻撃期間中にPolymarketのフロントエンドを利用した該当ユーザーは、 ウォレットの承認が攻撃者側へリダイレクトされてしまった。 侵害が検知されるまでに、11のウォレットから資金が奪われた。
スマートコントラクトが監査に合格していても、攻撃経路がコントラクト層より上流にある場合には、 その保護効果は限定的である。
セキュリティ事故後、規制当局の調査がプレッシャーを増幅
Polymarketは、米商品先物取引委員会（CFTC）が同プラットフォームの 米国ユーザーによる利用実態を調査し始めて以来、高いレベルの規制当局の注目を受けてきた。 2026年まで続いているCFTCの調査は、Polymarketの予測市場が、 米国の利用者に提供されている未登録のコモディティ契約に該当するかどうかを中心に行われている。
同プラットフォームは、2024年の米大統領選挙サイクルの際、 大統領選のオッズを伝えるメディア報道で広く引用されたことで、一般からの注目を集めた。 その可視性の高まりはユーザー成長と同時に、規制当局の監視も呼び込んだ。 進行中のCFTC調査と、今回のような大規模セキュリティインシデントが重なったことで、 プラットフォーム運営側には複合的なレピュテーションリスクが生じている。
予測市場のセキュリティは、このセクターで繰り返し懸念されてきたテーマである。 フロントエンド攻撃は、コアプロトコルではなく第三者サプライヤーの侵害に依存するため、 特に防ぎにくい。 過去2年間で、複数のDeFiプラットフォームが同様のサプライチェーン型の侵害被害を受けている。
関連記事: 236％急騰で、Micronがウォール街の次のAI銘柄に
今後の見通し
Polymarketは、被害を受けたユーザーに補償を行うかどうかを明らかにしていない。 また、侵害されたベンダーの身元も公表しておらず、 それが第三者による攻撃チェーンのセキュリティレビューを難しくしている。
CFTCの調査が事態を一層複雑にしている。 ハッキングに関するいかなる公的声明も、進行中の規制手続きと交差しかねない。 盗まれた資金がブリッジを経由してEthereumへ移されたことで、原理的にはトレーシングは可能だが、 フロントエンドベンダーへの攻撃で資金を取り戻せた事例は、 法執行機関の関与なしには稀である。