予測市場(出来事の結果に賭ける市場)のPolymarketで、10月29日に不正な出金が発生しました。報道によると、サイト上に仕込まれた悪意あるコードが、ログイン中の一部のトレーダーのポジション(保有している賭け)を売却し、その資金をハッカーの口座へ移したとのことです。
原因は、Polymarket自身のプログラムの不備ではなく、サイトが外部の会社から読み込んでいた「ページ表示速度を計測するスクリプト」(DebugBear製)が悪意あるものにすり替えられていたことです。Webサイトは、解析や広告、速度計測などのために外部のスクリプトをよく読み込みます。この外部部品が乗っ取られると、サイト運営者が気づかないうちに、訪問者のブラウザー上で不正なコードが動いてしまいます。このような手口は「サプライチェーン攻撃」(取引先や部品の側から狙う攻撃)と呼ばれます。
Polymarketは、726人のトレーダーに対して約270万ドルを返金すると説明しています。つまり、被害に遭った利用者の損失は補償される方針です。
この事案が示すのは、「公式サイトにログインしているだけでも、サイトが読み込む外部部品次第で被害に遭いうる」という点です。利用者側でできる対策は限られますが、暗号資産の取引所やサービスでは、出金先アドレスの制限(ホワイトリスト)や、取引・出金時の追加承認が使える場合は有効にしておくと安心です。また、使っていないサービスに資産を置きっぱなしにしないことも、被害を小さくします。