予測市場大手のPolymarketが被ったハッキング被害額が310万ドルに達した。ブロックチェーン分析企業のAMLBotは土曜日、Polymarketの11のユーザーウォレットからハッカーに盗まれた額をプラットフォームのトークンPUSDで約310万ドルと更新したとX上で報告した。
同社によると、資産はPolygonネットワークから盗まれ、その後直ちにEthereumへとブリッジされたという。AMLBotは引き続きPolymarketのアカウントを監視しているとしている。
土曜日の米国時間の時点で、PolymarketはCoinDeskの取材に対しコメントを発表していない。
今回の攻撃が公表されるとすぐに、Polymarketはプラットフォーム上の全取引に使用されるネイティブ担保および決済トークンPUSDを所有する被害者に対し全額返金を約束した。
木曜日にはPolymarketがX上で「今朝、第三者ベンダーの侵害により一部ユーザー向けのフロントエンドに悪意あるスクリプトが注入されていることを発見しました。これを制御し、影響を受けた依存関係の除去を行いました。影響を受けたユーザーには連絡をし、全額返金を実施しています」と説明している。
また、ブロックチェーンセキュリティ企業PeckShieldは木曜日にXで、Polymarketユーザーをターゲットとしたフィッシングキャンペーンが展開されていることを報告。約1,893ETH相当が盗まれブリッジされたと伝えた。
同じく木曜日にはブロックチェーン分析プラットフォームSpecter Analystも「Polymarketユーザーを標的としたフィッシング攻撃の可能性があり、これまでの被害額は約294万ドルと推定される」と発表している。
被害者の一人であるAsh氏はX上で自身のウォレットがハッキングされたと述べ、当時は理由が不明だったと明かし、被害者と攻撃者のウォレットアドレスを共有した。
Polymarketは最近も複数回のセキュリティ侵害に見舞われている。今年3月にはブロックチェーン調査者ZachXBTがPolygon上のスマートコントラクト２件から約52万ドルの流出可能性を指摘したが、Polymarket側は資金は安全であると説明している。
昨年12月には同プラットフォームのDiscordでユーザーから資金消失や不審なログイン試行の報告があり、セキュリティインシデントを確認。原因は第三者ログインプロバイダーへの特定不能な不正アクセスとされている。
今回のフィッシング攻撃報告は、PolymarketがWall Street Journalの記事を契機に、虚偽のソーシャルメディアプロモーションによりユーザーの勝利自慢を誇張したとして連邦当局の調査を受けているとの報道に続くものである。