Polymarket、ハッキング被害—11のウォレットから310万ドルが略奪、半年で2度目のサプライチェーン攻撃

Polymarket サプライチェーン攻撃の損失額は約310万ドルに増加し、合計11のユーザーウォレットが略奪されました。プラットフォームは数日前に全額返金を約束したものの、土曜日の午前時点でまだ公に回答していません。
（前回の経緯：『ニューヨーク・タイムズ』がMetaが予測市場アプリ「Arena」を開発中と報道、ザッカーバーグはPolymarketに嫉妬？）
（背景補足：DeFiで再びセキュリティ警告！Token of Powerが158万ドルハッキングされ、不正資金はすべてTornado Cashに流入）

分散型予測市場Polymarketは今週、サプライチェーン攻撃を受けたとの衝撃的なニュースが報じられました。ブロックチェーン情報会社AMLBotが土曜日にXで更新したところによると、合計11のユーザーウォレットが略奪され、損失額は約310万ドルに増加。資金はプラットフォームのネイティブトークンPUSDで計上され、盗難後すぐにPolygonブリッジを経由してイーサリアムメインネットに送信されました。

Polymarket Under Attack

PolymarketユーザーはPolygon上でフィッシング/悪意のあるEIP-7702委任実行により、約310万ドルのPUSDを流出されました。

資金はRelayを介してUSDC.eに変換され、イーサリアムにブリッジされ、ETHにスワップされ、統合されました… pic.twitter.com/bG3GYZZ1D9

— AMLBot (@AMLBotHQ) 2026年6月27日

サプライチェーン攻撃：悪意のあるスクリプトがフロントエンドから侵入

事件は木曜日に発生しました。Polymarketは同日、Xの公式声明で「今朝、サードパーティベンダーが侵害され、一部のユーザーのフロントエンドに悪意のあるスクリプトが注入されたことを確認しました。影響を受けた依存関係を制御し、削除しました。影響を受けたユーザーに連絡し、全額返金します。」と述べました。プラットフォームは、Polygonのスマートコントラクト自体は影響を受けておらず、これはフロントエンドインターフェースに対するサプライチェーン攻撃であり、攻撃者は契約ロジックではなく外部依存パッケージに侵入したと強調しました。

被害者のAshはXで、ウォレットがハッキングされたときは原因が全くわからず、後になって資金が送金されたことに気づいたと述べ、自身と攻撃者のウォレットアドレスを公開しました。これが最初の公に知られた被害事例の一つとなりました。

プラットフォームは返金を約束するが、セキュリティ問題は初めてではない

Polymarketの共同創業者関連人物であるWilliam LeGateは、全額補償すると公に表明し、「ユーザーは損をしない」と強調しました。しかし、これはPolymarketが初めてセキュリティリスクに直面したわけではありません。

チェーン調査員ZachXBTは今年3月、Polygon上でPolymarketに関連すると思われる2つのスマートコントラクトから52万ドル以上が送金されたと指摘しました。プラットフォームは当時、資金は安全だと回答しました。さらに昨年12月には、ユーザーから資金消失と不審なログインが相次いで報告された後、プラットフォームはDiscordでセキュリティインシデントを確認し、原因は不明なサードパーティログインベンダーにあるとしました。これは今回の攻撃手法と完全に一致します。すなわち、サードパーティが侵害され、Polymarketのフロントエンドが攻撃の踏み台となったのです。

今後、返金の約束が果たされるかどうか、攻撃者から310万ドルが回収できるかどうか、そしてPolymarketがサードパーティベンダーの脆弱性に関する完全な技術的詳細を公開するかどうか、この3つの問題が市場の注目の焦点となるでしょう。