大手予測市場ポリマーケット、外部事業者の侵害で4億円超が流出

仮想通貨を使う予測市場プラットフォームのポリマーケットで、260万ドル超（4億円以上）が失われた。同社は30日、外部事業者が侵害されたことが原因だと明らかにし、影響を受けたトレーダーに全額補償する方針を示した。

ポリマーケットはXへの投稿で、調査のため取引所を、注文のキャンセルだけを受け付け、新規注文や取引は処理しない「キャンセルのみ」モードに切り替え、リレイヤーの動作も止めたと伝えた。その後、国際版プラットフォームの問題を修正して関連する法執行機関に報告し、米東部時間午後3時ごろの再開を予告したうえで、取引を再開している。

流出の詳細を巡っては、X上で調査結果を公表したアルファワイヤ（AlphaWire）が、710のデポジットウォレットと981件の取引が関係し、約271万ドルが引き出されたと分析した。

攻撃手口を示す証拠は、アルファワイヤによると、基盤となる取引コントラクトの脆弱性ではなく、侵害されたウォレット認可を指しているという。デバッグベア（DebugBear）のコンテンツ配信網から読み込まれた悪意あるスクリプトが、ウォレットの認証状態にアクセスして既存の取引用署名者を乗っ取ったとみられる。