予測市場大手のPolymarketにおけるハッキング被害額が、現在約310万ドルに達したことがブロックチェーン分析企業AMLBotの発表で明らかになった。同社は、土曜日にPolymarketの11のユーザーウォレットから盗まれた資産を予測市場トークンPUSDで計算したとXで報告した。
AMLBotによると、被害資産はPolygonネットワークから盗まれ、その後すぐにEthereumへブリッジされているという。Polymarketのアカウントに関しては、引き続き監視を続けていると述べた。
米国の土曜日午前時点で、PolymarketはCoinDeskの取材に対しコメントを発表していない。
この攻撃が公表されると、Polymarketは自プラットフォーム上で取引に使用される担保および決済トークンPUSDを保有する被害者に対し、全額返金を約束した。
同社は木曜日にX上で「今朝、第三者ベンダーが侵害され、一部ユーザー向けフロントエンドに悪意あるスクリプトが注入されていたことが判明しました。これを制御し、影響を受けた依存関係を除去しました。影響を受けたユーザーには連絡し、全額返金を実施しています」と説明した。
また、ブロックチェーンセキュリティ企業PeckShieldは木曜日、Polymarketユーザーを狙ったフィッシングキャンペーンが展開されているとXで報告。さらに、約1,893ETH相当が盗まれEthereumネットワークへブリッジされたと伝えた。
同日の別のブロックチェーン分析プラットフォームSpecter Analystも「Polymarketユーザーを標的としたフィッシング攻撃の可能性があり、被害総額は約294万ドルと推定される」と発表している。
被害者の一人であるAsh氏はXで、自身のウォレットが不正アクセスを受けた経緯を説明し、被害者および攻撃者のウォレットアドレスを共有した。
Polymarketは近年、複数のセキュリティ問題に直面している。今年3月にはブロックチェーン調査者ZachXBTが、Polygonネットワーク上の2つのスマートコントラクトから約52万ドルが流出した可能性を指摘したが、Polymarket側は資金は安全だと説明した。
昨年12月には、同プラットフォームのDiscordチャンネルで資金消失や不審なログイン試行が複数報告され、第三者ログインプロバイダーへの不正アクセスが原因とされるセキュリティインシデントを確認している。
今回のフィッシング攻撃の報告は、PolymarketがWall Street Journalの記事を契機に、虚偽・誤解を招くソーシャルメディアプロモーションによりユーザーの勝利自慢を誇張したとして、連邦当局による調査を受けていると報じられた直後にあたる。