ポリマーケット、外部スクリプト経由で270万ドル流出 390万ドルを返還
Coinyong
韓国時間30日未明の約1時間で、ポリマーケットの726ウォレットから270万ドルが流出
689ウォレットに全額返金、取引停止の損失119万ドルを加え計390万ドルを返還
性能計測企業デバッグベアのスクリプトが悪意あるコードに差し替えられたとの分析
予測市場ポリマーケット（Polymarket）は、外部業者のスクリプトを経由したハッキングで726のウォレットから270万ドルが流出したと明らかにした。同社は10月30日（現地時間）、公式Xアカウントで、このうち689のウォレットに全額を返金し、取引停止で損失を被った利用者分も合わせて計390万ドルを返還すると発表した。
韓国時間午前2時10分からの1時間
攻撃は韓国時間30日未明に起きた。ブロックチェーン分析企業ビットクエリ（Bitquery）とセキュリティ企業レポートURI（Report URI）が公開したオンチェーン記録を時系列で並べると次の通りだ。
- 攻撃者のウォレットに最初のPOL（ポリゴンのトークン）が入金
- あるトレーダーがXで「80万ドルを抜かれた」と投稿し、アカウントの保護を呼びかけ
- ポリマーケット、問題のスクリプトを外したウェブサイトの新バージョンを配信
- 性能計測企業デバッグベア（DebugBear）、「進行中のセキュリティインシデントの影響を受けている」として顧客に埋め込みコードの削除を要請
- ポリマーケット、注文キャンセルのみ受け付けるモードに切り替え、リレイヤー機能を停止（Discordでの告知）
- ポリマーケット、726のうち689のウォレットへの全額返金を発表
ビットクエリは、流出が協定世界時（UTC）29日17時10分から18時10分、韓国時間では30日午前2時10分から3時10分の間に起きたと分析した。ポリマーケットは「攻撃は侵害された外部プロバイダーを通じて行われ、1時間以内に取り除いた」としている。
ページ速度の計測スクリプトがウォレットを空に
ポリマーケットは業者名を明らかにしていない。ただ、レポートURIを創業したセキュリティ研究者スコット・ヘルム（Scott Helme）氏は、ポリマーケットのウェブサイトが読み込んでいたデバッグベアのページ速度計測スクリプトが、同じアドレスのまま悪意あるコードに置き換えられたと分析した。もともと6万493バイトだったファイルが1万5187バイトの窃取コードに差し替えられ、ポリマーケットの配信記録には「debugbear rum scriptの削除」という変更履歴が残っている。
ヘルム氏によると、このコードはポリマーケットにログインしていた利用者のブラウザ上でサイトの注文機能を乗っ取った。セルフカストディ型ウォレットを接続していた利用者は保有ポジション（予測結果トークン）がまとめて攻撃者のアドレスへ移され、メールで登録した利用者はポジションが現在価格の97%、50%、最小呼値の順に投げ売りされた。残った現金はPOLに替えられて攻撃者に渡った。すべての取引がポリマーケットの正規のリレイヤーを通じて処理されたため、見た目は通常の注文と区別がつかなかった。スクリプトを読み込むアドレスは攻撃の前後で同じで、ファイルの中身だけが変わったため、許可アドレスのリストで防ぐブラウザのセキュリティポリシー（CSP）もこれを検知できなかったというのがヘルム氏の説明だ。
レポートURIは、韓国時間30日午前3時20分ごろ、攻撃者のウォレットにPOL約2863万枚、約260万ドル相当がたまっていたと集計した。POLは韓国の取引所アップビットとビッサムのウォン建て市場に上場しており、韓国時間31日午後0時30分時点で両取引所とも125ウォンで取引された。
被害270万ドルに対し返還は390万ドル
ポリマーケットは、直接奪われた270万ドルに加え、取引停止中に損失を出したりポジションを奪われたりした約5500のウォレットに119万ドルを30日から支払うとした。同社は「請求や問い合わせは不要だ」とし、「法執行機関と調査を進めており、事後報告書を公開する」と述べた。残る37のウォレットには、確認が済み次第支払う。
被害は一部のアカウントに集中した。ビットクエリは737のアカウントから273万ドルが流出し、1アカウント当たりの被害額の中央値は171ドルだったと分析した。10万ドルを超えて失った4アカウントが被害全体の43%を占めた。ポリマーケットの発表（726ウォレット）とビットクエリの集計では、アカウント数にわずかな差がある。
6月にも外部業者経由で300万ドル
ポリマーケットが外部業者を経由して攻撃を受けたのは今年2回目だ。6月25日にも外部業者が侵害され、ウェブサイトに悪意あるスクリプトが仕込まれて約300万ドルが流出した。ブロックチェーン分析企業バブルマップスは当時の被害アカウントを15未満と集計した。ポリマーケットはこの時も被害額を全額返金するとしていた。5月には、従業員が利用者への報酬の補充・支払いに使っていた会社のウォレットから約70万ドルが流出している。
USDT