Polymarketは、第三者プロバイダーの脆弱性により国際的な予測市場が混乱した後、10月29日に取引を再開しました。この出来事は、4か月以内にPolymarketが経験した2回目の数百万ドル規模のセキュリティ侵害となりました。Polymarketの公式インシデントログによると、取引制限の開始はUTC 18:05、解決はUTC 19:05でした。Polymarketは問題が解決され、法執行機関に通報されたと述べています。また、Polymarketは影響を受けたユーザーへの完全な補償を約束しました。
ブロックチェーン分析企業のBubblemapsは、10月29日の攻撃により700人以上のPolymarketユーザーが影響を受け、約346万ドルの資産が侵害されたと推定しました。攻撃者は約270万ドルをPOLに交換し、資金を移動しました。評価時点では、さらに75万ドルがPolymarketに残っていました。
Polymarketは6月25日、脆弱なベンダーによって悪意のあるスクリプトの挿入が可能になったことを公表しました。Polymarketは、影響を受けた依存関係を削除したとし、全額返金を約束しました。Source Defenseは、6月の攻撃による損失が約300万ドルに上ったと報告しました。Source Defenseは、この攻撃がマーケティングタグを通じて外部のアイデンティティライブラリを取得し、攻撃者がそれをPolymarket専用のドレナーで置き換えたことを特定しました。Source Defenseの研究者は、6月のペイロードが10万ドル以上を保有するウォレットを対象とし、デジタル承認を繰り返し要求したと述べました。承認された承認はPolymarketのリレイヤーを経由し、署名済みのアクションを送信します。
Hudson Rockの10月の分析では、DebugBearに関連するURLから取得されたコードが、ログイン中のセッション内でアクティブなトレーディングクライアントと署名者を検索していたことが記述されています。署名者は、暗号化承認を要求するコンポーネントです。Hudson Rockは、このスクリプトのプログラムされた動作がアカウントタイプによって異なることを発見しました。一つの分岐では保有資産トークンの振替を要求し、別の分岐では売却後にその収益の振替を要求していました。Hudson Rockはまた、DebugBear監視スクリプトの削除を記録したプロダクションビルドのメタデータも特定しました。しかし、Hudson Rockの静的解析では、このコードが実行されたこと、署名を静かに取得したこと、または秘密鍵を盗んだことの証明は得られませんでした。また、被害者から受取人までの完全な追跡も確立されていません。削除メタデータからは、ユーザーの暴露が正確にいつ終了したかを特定することはできません。
6月のマーケティング依存と10月のモニタリング関連スクリプトは、財務的に敏感なインターフェースへの異なる経路を提供した。6月のメカニズムは承認された許可に依存していたと報告されている一方で、10月のコードは取引ツールを要求し、署名を求めていた。脆弱なサプライヤーを単に置き換えるだけでは、ウェブサイト内の財務機能に悪意のあるコードが到達するという広範な問題を解決できない。繰り返される侵害は、トレーダーのブラウザを通じて外部コードがアクセスできる財務権限について疑問を投げかけている。
MDNのブラウザドキュメントによると、ページに直接読み込まれたサードパーティスクリプトは、そのページ上の他のスクリプトやデータにアクセスできます。MDNは、スクリプトを他の場所にホストしてもそのアクセス権が削除されないことを説明していますが、別のフレーム内のクロスオリジンコンテンツには異なるセキュリティ境界が存在します。外部コードの削減、署名リクエストの制限、ダウンロードされたファイルの確認は、攻撃チェーンの異なる段階に対応しています。取引および署名ページから不要な統合を削除することで、これらの環境への外部コードの許可を減らすことができます。署名者へのアクセスを確認し、新しいユーザー確認を必要とするアクションを特定することで、アクセス獲得後のコードが行えるリクエストを制限できます。
サブリソース整合性（Subresource Integrity）は、ブラウザがダウンロードしたスクリプトを期待される暗号学的フィンガープリントと照合し、改ざんされたファイルを拒否する機能です。サブリソース整合性は、信頼できるドメインにホストされた適切にピン留めされたリソースを保護することもできます。暴露期間、影響を受けた口座、および認可ルートを網羅した詳細な後日分析により、残存リスクを評価できます。他の侵害された統合が取引インターフェースへのアクセスを実用的な財務認可に変換する可能性があるかどうかは、未解決のままです。
Polymarket、4ヶ月以内に2度目の数百万ドル規模のセキュリティ侵害に遭う
CryptoSlate共有
概要
2026年10月29日、サードパーティプロバイダーが攻撃されたことを受けて、Polymarketは2度目の重大なセキュリティ侵害に見舞われました。この攻撃により700人以上のユーザーと346万ドルの資産が影響を受け、270万ドルが引き出されました。事件発生中、取引高は急激に低下しました。Polymarketは全額補償を約束し、当局に通報しました。Bubblemapsがこの侵害を報告し、Hudson Rockは悪意のあるスクリプトをDebugBearに特定しました。これは2026年6月にも発生した、同様にベンダーに関連する事件に続きます。その後、暗号資産市場のフィア・グリード・インデックスは悲観的レベルまで低下しました。
出典:原文を表示
免責事項: 本ページの情報はサードパーティからのものであり、必ずしもKuCoinの見解や意見を反映しているわけではありません。この内容は一般的な情報提供のみを目的として提供されており、いかなる種類の表明や保証もなく、金融または投資助言として解釈されるものでもありません。KuCoinは誤記や脱落、またはこの情報の使用に起因するいかなる結果に対しても責任を負いません。
デジタル資産への投資にはリスクが伴います。商品のリスクとリスク許容度をご自身の財務状況に基づいて慎重に評価してください。詳しくは利用規約およびリスク開示を参照してください。