ポリマーケットが木曜日に新規取引をすべて停止した。あるトレーダーが80万ドルを自身の口座から引き出されたと訴え、他のユーザーにも被害が及んでいると警告した20分後のことだ。同社はハッキング被害の有無について明らかにしていない。
凍結が解除されるまで、ポジション保有者は未約定の注文を取り消すことはできるが、売買は不可能な状態。トレーダーによると、友人もさらに60万ドルを失い、報告された被害総額は140万ドルとなった。
ポリマーケットはハッキングされたのか
協定世界時17時45分、Xで「Car」と名乗るトレーダーが、ユーザーにアカウントの厳重管理を呼びかけた。
「もしポリマーケットのユーザーなら、アカウントをロックしてください。いま80万ドルが抜き取られました。他のアカウントも被害を受けています。友人は60万ドルを失いました。注意し、サイトに接続しないでください」と投稿した。
続く投稿では、自身の全ポジションが売却されたことを報告した。
協定世界時18時05分、ポリマーケットのステータスページが大規模障害を告知した。取引所はキャンセル専用モードに移行しており、同社が原因不明のインシデントを調査中と記載された。
ポリマーケットはリレイヤーも停止した。同社の開発者向けドキュメントによると、このシステムはユーザーのポリマーケットウォレットからのトークン送付や承認を代理で行うもの。
ただし、同社は今回の障害と資金流出の主張との関連性を公表していない。原因、被害者数、損失額も明示していない。BeInCryptoは80万ドルおよび60万ドルの被害額を独自に確認できなかった。
ポリマーケットは6月の300万ドル流出時、どう対応したか
6月には、外部ベンダーのコードがポリマーケットのウェブサイト上で改ざんされたと報じられている。
改ざんされたサイトが一部ユーザーに対し、攻撃者への送金承認を促す仕組みだった。ポリマーケットの新しい取引担保トークンであるpUSD（ドル連動トークン）約300万ドル分が、15未満の口座から流出した。
ユーザー資産を管理するスマートコントラクト自体に侵害はなかった。ポリマーケットは被害を受けたすべてのユーザーへの補償を約束した。
「被害ユーザーには全額返金します。『損失』はありません」とポリマーケットのウィリアム・レゲイト体験責任者は述べた。
現時点で、ポリマーケットは今回のインシデントに対し同様の補償を約束していない。
凍結の発表は、ライバルの予測市場Predict.funが2日前に40万ドルを攻撃者に奪われた直後のこと。1週間で2件の流出で、これらプラットフォームのセキュリティと市場そのものの信頼が問われている。
ポリマーケットの次のステータス更新で、6月の返金対応が再び行われるかどうか明らかになる。
