🔬 Deep Dive｜Polymarket、画面に載る他社コードから今年 2 度目の資金流出

予測市場の Polymarket は 10 月 29 日、国際版 (Polymarket.com) で外部の委託先が破られたと公表し、取引を約 1 時間止めた。ログイン中の利用者の口座から資金が抜かれ、DeFi Llama の集計を引いた CoinDesk の報道では被害は約 270 万ドルにのぼる。

Polymarket Status

@Poly_Status

·Follow

Polymarket.⁠com: The exchange is currently in cancel-only mode and relayer actions paused while we investigate an incident. We're aware of an outage and are looking into it. status.polymarket.com/cmvtuswgi00221…

6:06 PM · Oct 29, 2026

149

Read 21 replies

6 月の約 300 万ドルに続き、委託先を経由した事案は今年 2 度目になる。どちらの回も、破られたのは Polymarket の取引の仕組みそのものではなく、サイトの画面に載っていた他社のコードだった。

鍵を預けていなくても、画面に第三者のコードが載る限り、ログイン中の権限はその会社の外から動かされうる。予測市場がスポーツリーグや大手取引所とつながり、金融の部品になっていくいま、その信頼の床がどこにあるのかを、Polymarket の公式の記録と規約から読む。

10 月 29 日に何が起きたか

一次の記録は Polymarket のステータスページにある。時刻はすべて協定世界時 (UTC) で、日本時間では翌 30 日の未明にあたる。

18:05 (日本時間 03:05) — 「取引所は注文の取り消しだけを受け付ける状態 (cancel-only) にあり、調査のあいだリレイヤーの処理を止めている」と告知。直後に公式のステータス用 X アカウントも同じ内容を投稿した
18:37 (同 03:37) — 国際版の Polymarket.com に影響した問題を特定し、修正したと発表。「第三者の委託先の一つが侵害され、関係する法執行機関に照会した」「影響を受けた人は全員、損失を埋める (made whole)」とし、念のため取引を一時停止した
18:55 (同 03:55) — 取引は米東部時間の 15 時ごろに再開すると告知
19:05 (同 04:05) — 解決

ステータスページの記録では、予測市場の本体と取引 API (CLOB) が 18:05 から 19:05 まで「重大な障害」の扱いだった。

被害額、被害を受けた人数、委託先の社名の 3 つは、公式の記録にまだ無い。

被害額は報道ごとに数え方が違う。CoinDesk は DeFi Llama の集計で約 270 万ドルとした。The Block は、Arkham のデータで攻撃者とみられるウォレットが約 265 万ドル相当の POL (Polygon のトークン) を持ち、Relay を通じた USDC.e から POL への交換を何度も受けていたと伝えた。同じ The Block の記事の中でも、被害額は 250 万ドル超と 260 万ドル超の 2 通りで書かれている。最終的な額は、Polymarket の公表を待つしかない。

手口については、研究者の分析が出始めた段階だ。crypto.news がまとめたところでは、Hudson Rock は委託先のインフラから配られた JavaScript のファイルを調べ、そのコードがログイン中の口座の取引の仕組みと署名者を探し、残高と建玉を確かめたうえで、決められた送り先へ価値を移そうとしていたと分析した。建玉のトークンをそのまま送る経路と、建玉を売ってから代金を送る経路が別々にあったという。BleepingComputer も、既存の取引セッションを使って注文を出し、資産を移そうとする動きをスクリプトの中に見つけた。

一方で Hudson Rock は、シードフレーズ・パスワード・秘密鍵をスクリプトの報告先へ送る処理は見つけていない。

鍵は盗まれず、ログイン中の権限が使われた。

委託先の社名について、crypto.news は Reuters が関係者の話として特定したと伝えている。報道では、実際の利用者の環境でサイトの表示の速さを計る計測サービスで、利用者のサイトに JavaScript を埋め込んで動く種類のものだという。Polymarket 自身は社名を出していない。

6 月に続く 2 度目

6 月の事案も、入口は同じ場所だった。BleepingComputer によると、Polymarket は 6 月、第三者を通じてサイトの画面に悪意のあるスクリプトが注入されたと説明した。同社はこれを「ウェブサイトが依存していた部品に影響したサプライチェーン攻撃」と呼び、自社のサーバーと裏側の仕組みには影響が無かったとした。被害は少数の口座から約 300 万ドルで、Bubblemaps は影響を受けた口座を 15 未満と数えた。このときも Polymarket は全額の返金を表明し、委託先の名前は出していない。

6 月と 10 月で委託先や攻撃者が同じかどうかは、公表されていない。2 つをつなげる材料は、いまのところ「画面に載った他社のコードが入口だった」という一点だけだ。

ただ、2 回を並べると変化も見える。6 月は、利用者が公式サイトの上で偽の取引を承認させられた (BleepingComputer)。10 月は、利用者が X で「承認していないのに資産が引き出された」と報告し (CoinDesk)、研究者の分析ではログイン中のセッションそのものが使われた。入口は同じでも、利用者の 1 回のクリックという関門が、手口の側から消えつつある。

画面に載る他社のコード自体は、どのサイトにもある。アクセス解析、表示速度の計測、問い合わせのチャット、ログインの仕組みと、現代のサイトは多くの部品を外から読み込んで組み立てられている。ブラウザの中では、そうした部品もサイト自身のコードと同じ権限で動く。取引の画面がログイン中の権限を持っている以上、部品のどれか 1 つが書き換えられれば、その権限は部品の持ち主の外から動かせる。

Coinbase の Amplitude 経由の流出と並べて見る、取引所の委託先リスク

同じ週、Coinbase も委託先を経由した事案を公表している。外部の分析ツール Amplitude の事案で顧客の連絡先の一部が影響を受けたとし、自社システムへの侵入や資金への影響は否定した (LiveMakers は 10 月 28 日に Signal で報じた)。

2 つは向きが逆だ。Coinbase の件では、データが会社の外の委託先へ流れ出た。被害は連絡先で、その先に来るのは流出した情報を使った詐欺のおそれだ。Polymarket の件では、コードが委託先から会社の画面へ流れ込んだ。被害は資産そのものだった。

どちらも、破られたのは取引所の本体ではない。それでも利用者から見れば、自分が使っている取引所の画面とデータの話であり、委託先の名前は契約の向こう側にあって見えない。取引所の委託先リスクには、データが出ていく向きと、コードが入ってくる向きの 2 つがあり、後者は画面が取引の権限を持っている限り、お金に直接届く。

「全額補填」の中身

Polymarket は 2 回とも、損失を埋めると約束した。ただ、10 月のステータスページの告知は、誰の資金で、いつまでに、どの規約にもとづいて補填するのかを書いていない。

国際版の利用規約 (Polymarket.com Terms of Use・2026 年 8 月 11 日発効) を読むと、約束の位置がはっきりする。規約の主体は Adventure One QSS, Inc. で、準拠法はパナマ法だ。責任の制限を定めた節では、ハッキング・改ざん・不正なアクセスや利用から生じた損害について、会社は補償・払い戻し・損害賠償の責任を負わないとし、規約上の会社の責任の総額は 100 ドルを超えないと定めている。第三者のサービスについても、会社はそれを管理しておらず責任を負わないと書く。

つまり今回の「損失を埋める」は、規約が利用者に約束している権利の外にある。会社が規約を超えて自ら選んだ対応だ。2 度とも補填を表明したことは、利用者にとって心強い。同時に、補填が会社の判断と手元の資金に支えられている限り、3 度目に同じ判断が出る保証は規約のどこにも無い。

米国の利用者は、国際版の規約のページから別のサイト polymarket.us へ案内されている。今回の告知が対象にしたのは国際版だけで、米国版がこの侵害の影響を受けたかどうか、補填の扱いが両版でどう違うかは、告知の中では触れられていない。

予測市場が主流化する前に必要な床

予測市場は、もう周辺の話ではない。LiveMakers が 10 月 27 日の Deep Dive で扱ったように、MLB と NHL に続いて NBA が米商品先物取引委員会 (CFTC) と覚書を結び、米 4 大リーグのうち 3 リーグが同じ側に並んだ。スポーツと金融の両方で部品として組み込まれていくほど、画面の信頼は業界全体の信頼に直結する。

設計の手がかりは、Polymarket 自身の文書にもある。開発者向けのドキュメントは、試験提供 (beta) のセッションキーについて「セッションキーは入金用ウォレットから資金を引き出せない」と書く。取引の権限と出金の権限を分ける設計は、すでに用意されている。ただし今回の手口がどの権限を使って資金を外へ出したのかは、まだ公表されていない。設計上は分かれている、今回どの経路だったかは事後報告を待つ、というのが現時点で言える範囲だ。

画面に載る他社のコードを縛る仕組みも、一般的な技術として存在する。サブリソース完全性 (SRI) は、読み込んだファイルが事前に決めたハッシュ値と一致する時だけブラウザに実行させる。コンテンツセキュリティポリシー (CSP) は、スクリプトをどこから読み込んでよいか、データをどこへ送ってよいかをサイト側で絞る。どちらも万能ではなく、頻繁に中身が変わる委託先のコードとは相性が悪い場面もあるが、取引の権限が載る画面ほど、外の部品の数と自由度を絞る意味は大きい。

10 月 31 日の Deep Dive で扱った AI 開発ツールの内蔵ブラウザの穴と同じく、ここでも「画面に何が載っているかを、利用者は見られない」という問題が根にある。利用者にできることは限られる。だからこそ、床は運営の側に置く必要がある。委託先の開示、事後報告、規約に書かれた補填の 3 つがそろって初めて、画面の信頼は会社の善意から制度へ移る。

次に見るものは 3 つある。

Polymarket のステータスページと公式のステータス用 X アカウント — 事後報告が出るか。被害額、影響を受けた口座の数、さらされていた時間の長さ、そして資金がどの権限で外へ出たのかが書かれるかが焦点になる
補填の実行 — 「損失を埋める」が、いつ、どの資金で実行されたかの告知。6 月の返金がどう実行されたかと並べて読める
規制当局の反応 — 米国版を監督する CFTC が、国際版の侵害に何らかの言及をするか

ことば

サプライチェーン攻撃 — 標的を直接狙わず、標的が使っている部品や委託先を先に破って入り込む攻撃。サイトが外から読み込むスクリプトは、その入口になりやすい。
セッションキー — 毎回ウォレットで署名しなくても取引できるよう、限られた権限だけを渡す一時的な鍵。Polymarket のものは試験提供で、出金はできない設計と説明されている。
サブリソース完全性 (SRI) — 外から読み込むファイルのハッシュ値をサイト側が先に指定し、一致しない時はブラウザが実行しない仕組み。ファイルが書き換えられても動かせなくなる。

🔗 一次ソース