2026年6月14日、Polymarketは内部ウォレットのハッキングを確認し、予測市場コミュニティに衝撃を与えた。この侵害は、オンチェーン分析会社Bubblemapsによって最初に指摘され、プラットフォームの報酬システムに関連付けられた運用ウォレットから一連の疑わしい自動送金が行われたことに関係していた。Polymarketは迅速に、ユーザ資金は安全であると明らかにし、事件の原因はプラットフォームのコアスマートコントラクトの欠陥ではなく、秘密鍵の漏洩によるものだと説明した。この区別は非常に重要である：スマートコントラクトの脆弱性はプラットフォーム上のすべての資金を脅かす可能性があるが、運用ウォレットの侵害は、深刻ではあるものの、限定された問題を示すに過ぎない。リアルタイムで分散型金融プラットフォームのサイバーセキュリティ脅威の進展を見守る者にとって、この事件は現代の予測市場がセキュリティの失敗にどう対処し、何がうまくいき、何がまだ改善を要するかの有用なケーススタディとなる。## 発見：Bubblemapsのアラートと自動流出最初の公のシグナルは、Polymarket自身からではなく、複数のネットワークにわたるウォレットクラスターとトークンフローを監視するオンチェーン可視化ツールBubblemapsからだった。彼らの自動アラートシステムは、Polygonネットワーク上の既知のPolymarket関連アドレスからの出金パターンを検知し、即座に暗号セキュリティコミュニティの注目を集めた。数時間以内に、独立した研究者たちがこの発見を裏付けた。問題のウォレットは、一連の同一の取引を通じて体系的に資金を引き出されており、各取引は一定量のPOLトークンを定期的に移動させていた。その機械的な正確さは明らかだった：人間の操作者がこのような硬直的で反復的なパターンで資金を動かすことはほぼ不可能だからだ。### パターン認識：定期的な5,000 POLの送金攻撃者は、約12分ごとに正確に5,000 POLを送金し、数時間にわたってこれを繰り返した。この種の滴下抽出は一般的な戦術である。大きな一回の取引でウォレットを空にして即座にアラートを引き起こしたり、フロントランや凍結のリスクを避けるために、攻撃者は盗難を何十もの小さな取引に分散させた。Bubblemapsが警告を発した時点で、すでに約23万POL（当時約11万5千ドル相当）がウォレットから出ていた。金額とタイミングの均一性は、スクリプトやボットが抽出を行っていることを強く示唆していた。手動の引き出しではこのようなパターンはほぼ不可能だからだ。### Polygonネットワーク上の攻撃者アドレスの追跡オンチェーン調査者たちは、受取アドレスの追跡を迅速に行った。攻撃者のアドレスは、事件前に取引履歴がなく、新たに生成されたウォレットであることが多い。Polygonの透明性により、すべてのステップが公開されていたが、抽出のスピードとその後の隠蔽により、リアルタイムの介入は困難だった。ChainalysisやArkham Intelligenceなどのブロックチェーンフォレンジック企業は、24時間以内に関連アドレスをタグ付けし始めた。## Polymarket公式声明：内部ウォレットの侵害Polymarketの対応は、Bubblemapsのアラートから約6時間後に出された。プラットフォームはX（旧Twitter）と公式ブログで声明を発表し、侵害を認め、初期の詳細を提供した。声明は明確に、ユーザの残高、市場ポジション、解決メカニズムには影響がなかったと述べている。Polymarketは、「内部運用ウォレットの秘密鍵漏洩」として事件を説明し、この侵害とプラットフォームのアーキテクチャにおけるシステム的脆弱性との明確な線引きを行った。### 秘密鍵漏洩とスマートコントラクトの脆弱性の違いこの区別は非常に重要であり、明確に理解すべきだ。スマートコントラクトの脆弱性は、プラットフォームのコア機能（預金、引き出し、市場作成、解決）を管理するコードに欠陥があり、攻撃者がそれを悪用できることを意味する。その種のバグは、プロトコル全体を一掃できる。2023年のEuler Financeのハッキングや2022年のMango Marketsのエクスプロイトがこれに該当する。一方、秘密鍵の漏洩は根本的に異なる。特定のウォレットを制御する暗号鍵に誰かがアクセスしたことを意味する。プラットフォームのスマートコントラクトは設計通りに機能していたが、問題は未承認の第三者が特定のアドレスの資格情報を入手したことにある。例えるなら、銀行の支店長のオフィスの鍵を盗むことと、金庫の施錠メカニズムの欠陥を見つけることの違いだ。どちらも悪いが、その被害範囲は大きく異なる。Polymarketの2026年初頭に行われたTrail of Bitsによる最新のスマートコントラクト監査では、重大な脆弱性は見つからなかった。これらの監査結果は、実際にユーザ資金を管理するコードの整合性を確認する上で依然として重要だ。### 報酬支払いにおける運用ウォレットの役割侵害されたウォレットは、流動性マイニング報酬やプロモーションインセンティブをアクティブなトレーダーに配布する特定の機能を担っていた。これには、これらのプログラム用に指定されたPOLトークンが含まれていたが、USDCやその他の安定コインは含まれていなかった。このウォレットはホットウォレットとして運用されており、その秘密鍵は自動化された頻繁な取引を可能にする方法で保存されていた。ホットウォレットとコールドストレージの安全性のトレードオフは業界内でよく知られている：ホットウォレットは速度と自動化を可能にするが、その鍵はオンラインシステムにアクセス可能なためリスクが高い。コールドストレージははるかに安全だが、高頻度の自動支払いには不向きだ。このウォレットの設計上の必要性が、まさに脆弱性を生んだ。## 影響評価とユーザ安全性の保証この事件による金銭的被害は比較的限定的だった。盗まれたPOLの約11万5千ドルは、当時のPolymarketの総ロック資産（4億8千万ドル超）のごく一部に過ぎない。プラットフォームの日次取引量には影響はなく、市場も一時停止や混乱はなかった。Polymarketのアーキテクチャは、被害を限定する上で重要な役割を果たした。プラットフォームは、運用ウォレットとユーザ預金を管理するスマートコントラクトインフラを分離している。この分離は意図的な設計選択であり、今回のケースでも効果的だった。### ユーザ預金と市場解決の分離Polymarketのユーザ資金は、Polygon上のスマートコントラクト内に保持されており、プロトコルのコードによって管理されている。預金、引き出し、解決はすべてこれらのコントラクトを通じて行われる。侵害された運用ウォレットには、これらの機能に対する権限はなかった。この分離は、成熟したDeFiプロトコルが採用している原則に従う：広範な権限を持つウォレットの数を最小限に抑えることだ。運用ウォレットは報酬の送信だけが可能であり、ユーザの残高操作や市場パラメータの変更、解決のトリガーはできなかった。たとえ攻撃者が市場操作を狙っても、このウォレットにはその権限がなかった。### 現在のプラットフォーム運営状況と流動性執筆時点で、Polymarketは完全に稼働している。報酬配布は一時停止されたが、チームは鍵を回転させ、新たなウォレットを展開した。プラットフォームは、未払いの報酬は別の予備金から支払われると確認した。米国政治予測や世界的なイベント契約を含む主要市場の流動性は安定しており、開示後48時間以内に大きな引き出しの増加は見られなかった。これは、コミュニティがPolymarketの説明と、侵害の限定性を概ね受け入れたことを示している。## 分散型予測市場のセキュリティへの示唆このハッキングは、予測市場やDeFiプラットフォームが、分散化と運用の便宜性の間の緊張をどう管理しているかについて、より広範な疑問を投げかける。Polymarketはハイブリッド型で運営されている：コアの市場メカニズムはスマートコントラクト上で動作しつつも、報酬や分析、カスタマーサポートなどの支援機能はより伝統的な中央集権的インフラに依存している。このハイブリッドモデルは、2026年のDeFi全体で一般的になりつつある。完全に分散化された運用は、主流ユーザのオンボーディングや、ヨーロッパのMiCA規制への準拠、競争力のあるユーザ体験を維持するためには実用的でない場合が多い。その結果、中央集権的なコンポーネントは中央集権的な失敗点をもたらす。### 中央集権的運用ウォレットのリスク単一の秘密鍵で管理されるウォレットは、ターゲットになりやすい。予測市場のセキュリティプロトコルは、ユーザ向けのスマートコントラクトには適用されるが、これらの運用ウォレットには適用されないことが多い。一般的な攻撃ベクトルには次のようなものがある。* 開発者のマシンやクラウド環境の侵害* ウォレットアクセスを狙ったフィッシング攻撃* 現役または元従業員による内部脅威* 鍵管理ソフトウェアのサプライチェーン攻撃Polymarketの事件は、特定の攻撃ベクトルに起因しているとはまだ断定されていないが、同プラットフォームは外部セキュリティ企業の協力を得て調査中だと述べている。### ホットウォレットのリスク軽減のベストプラクティスリスクと影響を軽減するためのいくつかの実践的な方法は次のとおりだ。* 重要な資産を保持するアドレスにはマルチシグウォレットを使用する* 1回の取引や一定期間内の送金額に上限を設ける* 定期的に鍵を回転させ、スタッフの変更後も行う* ホットウォレットの鍵はハードウェアセキュリティモジュールに保管し、ソフトウェアベースの解決策は避ける* 不審な出金をリアルタイムで監視し、自動アラートを設定して異常パターンを検知するPolymarketは、これらの対策のいくつかを新しい運用ウォレットに採用する意向を示しており、マルチシグ要件や取引ごとの支出上限も含まれる。## 継続的監視と今後の改善策Polymarketの秘密鍵漏洩に対する対応は、透明性が高く、良い前例となる。プラットフォームは、30日以内に完全な事後報告書を公開し、鍵漏洩の根本原因、詳細なタイムライン、実施中の修正措置を明らかにすることを約束している。この動きは、予測市場のエコシステム全体にとって重要だ。Polymarket、Kalshi、そして新規参入者が市場シェアを争う中、セキュリティインシデントはユーザの信頼と規制の見方にますます影響を与える。適切に対応し、迅速に情報公開し、明確なコミュニケーションと証明可能な封じ込めを行えば、プラットフォームの信頼性をむしろ高めることができる。一方、遅延や隠蔽、ユーザ資金の喪失があれば、致命的となる。ユーザにとっての教訓は明快だ：資金が実際にどこにあるのかを理解せよ。監査済みのコードを持つスマートコントラクトに預けられているなら、単一の鍵を持つ管理者アドレスに預けられている場合とは根本的にリスクの性質が異なる。質問を投げかけ、監査報告を読み、Bubblemapsのようなオンチェーンアナリストが警告を出したときには注意を払おう。彼らはしばしばプラットフォームよりも早く問題を察知しているからだ。
Polymarketは内部ウォレットのハッキングを確認 – ユーザ資金は安全のまま
2026年6月14日、Polymarketは内部ウォレットのハッキングを確認し、予測市場コミュニティに衝撃を与えた。この侵害は、オンチェーン分析会社Bubblemapsによって最初に指摘され、プラットフォームの報酬システムに関連付けられた運用ウォレットから一連の疑わしい自動送金が行われたことに関係していた。Polymarketは迅速に、ユーザ資金は安全であると明らかにし、事件の原因はプラットフォームのコアスマートコントラクトの欠陥ではなく、秘密鍵の漏洩によるものだと説明した。この区別は非常に重要である：スマートコントラクトの脆弱性はプラットフォーム上のすべての資金を脅かす可能性があるが、運用ウォレットの侵害は、深刻ではあるものの、限定された問題を示すに過ぎない。リアルタイムで分散型金融プラットフォームのサイバーセキュリティ脅威の進展を見守る者にとって、この事件は現代の予測市場がセキュリティの失敗にどう対処し、何がうまくいき、何がまだ改善を要するかの有用なケーススタディとなる。
発見：Bubblemapsのアラートと自動流出
最初の公のシグナルは、Polymarket自身からではなく、複数のネットワークにわたるウォレットクラスターとトークンフローを監視するオンチェーン可視化ツールBubblemapsからだった。彼らの自動アラートシステムは、Polygonネットワーク上の既知のPolymarket関連アドレスからの出金パターンを検知し、即座に暗号セキュリティコミュニティの注目を集めた。
数時間以内に、独立した研究者たちがこの発見を裏付けた。問題のウォレットは、一連の同一の取引を通じて体系的に資金を引き出されており、各取引は一定量のPOLトークンを定期的に移動させていた。その機械的な正確さは明らかだった：人間の操作者がこのような硬直的で反復的なパターンで資金を動かすことはほぼ不可能だからだ。
パターン認識：定期的な5,000 POLの送金
攻撃者は、約12分ごとに正確に5,000 POLを送金し、数時間にわたってこれを繰り返した。この種の滴下抽出は一般的な戦術である。大きな一回の取引でウォレットを空にして即座にアラートを引き起こしたり、フロントランや凍結のリスクを避けるために、攻撃者は盗難を何十もの小さな取引に分散させた。
Bubblemapsが警告を発した時点で、すでに約23万POL（当時約11万5千ドル相当）がウォレットから出ていた。金額とタイミングの均一性は、スクリプトやボットが抽出を行っていることを強く示唆していた。手動の引き出しではこのようなパターンはほぼ不可能だからだ。
Polygonネットワーク上の攻撃者アドレスの追跡
オンチェーン調査者たちは、受取アドレスの追跡を迅速に行った。攻撃者のアドレスは、事件前に取引履歴がなく、新たに生成されたウォレットであることが多い。Polygonの透明性により、すべてのステップが公開されていたが、抽出のスピードとその後の隠蔽により、リアルタイムの介入は困難だった。ChainalysisやArkham Intelligenceなどのブロックチェーンフォレンジック企業は、24時間以内に関連アドレスをタグ付けし始めた。
Polymarket公式声明：内部ウォレットの侵害
Polymarketの対応は、Bubblemapsのアラートから約6時間後に出された。プラットフォームはX（旧Twitter）と公式ブログで声明を発表し、侵害を認め、初期の詳細を提供した。声明は明確に、ユーザの残高、市場ポジション、解決メカニズムには影響がなかったと述べている。Polymarketは、「内部運用ウォレットの秘密鍵漏洩」として事件を説明し、この侵害とプラットフォームのアーキテクチャにおけるシステム的脆弱性との明確な線引きを行った。
秘密鍵漏洩とスマートコントラクトの脆弱性の違い
この区別は非常に重要であり、明確に理解すべきだ。スマートコントラクトの脆弱性は、プラットフォームのコア機能（預金、引き出し、市場作成、解決）を管理するコードに欠陥があり、攻撃者がそれを悪用できることを意味する。その種のバグは、プロトコル全体を一掃できる。2023年のEuler Financeのハッキングや2022年のMango Marketsのエクスプロイトがこれに該当する。
一方、秘密鍵の漏洩は根本的に異なる。特定のウォレットを制御する暗号鍵に誰かがアクセスしたことを意味する。プラットフォームのスマートコントラクトは設計通りに機能していたが、問題は未承認の第三者が特定のアドレスの資格情報を入手したことにある。例えるなら、銀行の支店長のオフィスの鍵を盗むことと、金庫の施錠メカニズムの欠陥を見つけることの違いだ。どちらも悪いが、その被害範囲は大きく異なる。
Polymarketの2026年初頭に行われたTrail of Bitsによる最新のスマートコントラクト監査では、重大な脆弱性は見つからなかった。これらの監査結果は、実際にユーザ資金を管理するコードの整合性を確認する上で依然として重要だ。
報酬支払いにおける運用ウォレットの役割
侵害されたウォレットは、流動性マイニング報酬やプロモーションインセンティブをアクティブなトレーダーに配布する特定の機能を担っていた。これには、これらのプログラム用に指定されたPOLトークンが含まれていたが、USDCやその他の安定コインは含まれていなかった。
このウォレットはホットウォレットとして運用されており、その秘密鍵は自動化された頻繁な取引を可能にする方法で保存されていた。ホットウォレットとコールドストレージの安全性のトレードオフは業界内でよく知られている：ホットウォレットは速度と自動化を可能にするが、その鍵はオンラインシステムにアクセス可能なためリスクが高い。コールドストレージははるかに安全だが、高頻度の自動支払いには不向きだ。このウォレットの設計上の必要性が、まさに脆弱性を生んだ。
影響評価とユーザ安全性の保証
この事件による金銭的被害は比較的限定的だった。盗まれたPOLの約11万5千ドルは、当時のPolymarketの総ロック資産（4億8千万ドル超）のごく一部に過ぎない。プラットフォームの日次取引量には影響はなく、市場も一時停止や混乱はなかった。
Polymarketのアーキテクチャは、被害を限定する上で重要な役割を果たした。プラットフォームは、運用ウォレットとユーザ預金を管理するスマートコントラクトインフラを分離している。この分離は意図的な設計選択であり、今回のケースでも効果的だった。
ユーザ預金と市場解決の分離
Polymarketのユーザ資金は、Polygon上のスマートコントラクト内に保持されており、プロトコルのコードによって管理されている。預金、引き出し、解決はすべてこれらのコントラクトを通じて行われる。侵害された運用ウォレットには、これらの機能に対する権限はなかった。
この分離は、成熟したDeFiプロトコルが採用している原則に従う：広範な権限を持つウォレットの数を最小限に抑えることだ。運用ウォレットは報酬の送信だけが可能であり、ユーザの残高操作や市場パラメータの変更、解決のトリガーはできなかった。たとえ攻撃者が市場操作を狙っても、このウォレットにはその権限がなかった。
現在のプラットフォーム運営状況と流動性
執筆時点で、Polymarketは完全に稼働している。報酬配布は一時停止されたが、チームは鍵を回転させ、新たなウォレットを展開した。プラットフォームは、未払いの報酬は別の予備金から支払われると確認した。
米国政治予測や世界的なイベント契約を含む主要市場の流動性は安定しており、開示後48時間以内に大きな引き出しの増加は見られなかった。これは、コミュニティがPolymarketの説明と、侵害の限定性を概ね受け入れたことを示している。
分散型予測市場のセキュリティへの示唆
このハッキングは、予測市場やDeFiプラットフォームが、分散化と運用の便宜性の間の緊張をどう管理しているかについて、より広範な疑問を投げかける。Polymarketはハイブリッド型で運営されている：コアの市場メカニズムはスマートコントラクト上で動作しつつも、報酬や分析、カスタマーサポートなどの支援機能はより伝統的な中央集権的インフラに依存している。
このハイブリッドモデルは、2026年のDeFi全体で一般的になりつつある。完全に分散化された運用は、主流ユーザのオンボーディングや、ヨーロッパのMiCA規制への準拠、競争力のあるユーザ体験を維持するためには実用的でない場合が多い。その結果、中央集権的なコンポーネントは中央集権的な失敗点をもたらす。
中央集権的運用ウォレットのリスク
単一の秘密鍵で管理されるウォレットは、ターゲットになりやすい。予測市場のセキュリティプロトコルは、ユーザ向けのスマートコントラクトには適用されるが、これらの運用ウォレットには適用されないことが多い。一般的な攻撃ベクトルには次のようなものがある。
Polymarketの事件は、特定の攻撃ベクトルに起因しているとはまだ断定されていないが、同プラットフォームは外部セキュリティ企業の協力を得て調査中だと述べている。
ホットウォレットのリスク軽減のベストプラクティス
リスクと影響を軽減するためのいくつかの実践的な方法は次のとおりだ。
Polymarketは、これらの対策のいくつかを新しい運用ウォレットに採用する意向を示しており、マルチシグ要件や取引ごとの支出上限も含まれる。
継続的監視と今後の改善策
Polymarketの秘密鍵漏洩に対する対応は、透明性が高く、良い前例となる。プラットフォームは、30日以内に完全な事後報告書を公開し、鍵漏洩の根本原因、詳細なタイムライン、実施中の修正措置を明らかにすることを約束している。
この動きは、予測市場のエコシステム全体にとって重要だ。Polymarket、Kalshi、そして新規参入者が市場シェアを争う中、セキュリティインシデントはユーザの信頼と規制の見方にますます影響を与える。適切に対応し、迅速に情報公開し、明確なコミュニケーションと証明可能な封じ込めを行えば、プラットフォームの信頼性をむしろ高めることができる。一方、遅延や隠蔽、ユーザ資金の喪失があれば、致命的となる。
ユーザにとっての教訓は明快だ：資金が実際にどこにあるのかを理解せよ。監査済みのコードを持つスマートコントラクトに預けられているなら、単一の鍵を持つ管理者アドレスに預けられている場合とは根本的にリスクの性質が異なる。質問を投げかけ、監査報告を読み、Bubblemapsのようなオンチェーンアナリストが警告を出したときには注意を払おう。彼らはしばしばプラットフォームよりも早く問題を察知しているからだ。