予測市場プラットフォームのPolymarketに対するハッキング被害額が、310万ドルに達したことが判明した。プラットフォームは被害者に対し全額返金を約束しているが、被害拡大はわずか数日のうちに広がっている。

ブロックチェーン分析企業のAMLBotは土曜日、Polymarketの11のユーザーウォレットからハッカーが盗んだ資金総額を、予測市場トークンであるPUSDで約310万ドル相当に更新したと、SNSのX上で発表した。

同社の報告によれば、盗まれた資産はPolygonネットワークから持ち出され、その後即座にEthereumネットワークへブリッジされているという。AMLBotは引き続きPolymarketの関連アカウントの動向を監視している。

この攻撃が確認された直後、Polymarketはプラットフォーム上の全取引に使用されるネイティブ担保および決済トークンPUSDを保有する被害者に対して、全額の返金を約束した。

Polymarketは木曜日にX上で「今朝、外部ベンダーが侵害され、一部ユーザー向けフロントエンドに悪意あるスクリプトが注入されていることを発見しました。事態を制御し、被害を受けた依存関係を除去しました。影響を受けたユーザーには連絡の上、全額返金を実施しています」と説明している。

また、ブロックチェーンセキュリティ会社PeckShieldは木曜日、Polymarketのユーザーを狙ったフィッシングキャンペーンが展開されていることをX上で報告。約1,893ETH相当が盗まれ、ブリッジされたと伝えられている。

同日には別のブロックチェーン分析プラットフォームSpecter Analystも「Polymarketユーザーを標的にしたフィッシング攻撃の可能性があり、これまでの推定被害額は約294万ドルに上る」と発表した。

ハッキング被害者の一人であるAsh氏はX上で、自身のウォレットが被害に遭ったと述べ、その際に理由が不明だったことを明かし、被害者と攻撃者のウォレットアドレスを共有している。

Polymarketは近年も複数回のセキュリティ侵害に直面している。今年3月にはブロックチェーン調査者のZachXBTがPolygon上の2つのスマートコントラクトから約52万ドルの資金流出の可能性を指摘したが、Polymarket側は資金は安全であると説明している。

昨年12月には、同プラットフォームのDiscordチャンネルにてユーザーから資金消失や不審なログイン試行の報告が寄せられ、セキュリティインシデントを認めた。原因は第三者のログインプロバイダーに対する特定できない不正アクセスとされている。

今回のフィッシング攻撃の報告は、PolymarketがWall Street Journalの記事を受け、虚偽のソーシャルメディアプロモーションによってユーザーの勝利事例を過剰に宣伝したとして連邦当局の調査を受けているとの報道に続く形となった。