予測市場プラットフォームのPolymarketは、国際プラットフォーム上のトレーダーの口座から数百万ドルが流出する「サプライチェーン攻撃」を受けました。同プラットフォームは、不正な引き出しを検知した後、10月29日に一時的に取引を停止したことを発表し、今回の事件で被害を受けたすべてのユーザーに補償を行うと明言しました。
攻撃のメカニズム：監視ツールの悪用
Hudson Rock社の研究者は、この攻撃がPolymarketのインフラを直接標的にしたものではなく、Webサイトのパフォーマンス監視を専門とする英国企業DebugBearを通じて注入された悪意のあるJavaScriptコードによって実行されたことを明らかにしました。
この悪意のあるコードは、DebugBearの「リアルユーザーモニタリング（RUM）」ツールを悪用し、以下の操作を行いました：
- すでにログインしているユーザーの取引ツールやウォレットを検索。
- パスワードや秘密鍵、リカバリーフレーズを直接盗むことなく、アクティブなセッション（認証済みセッション）の権限を悪用。
- ユーザーの金融ポジションを売却、または攻撃者が管理するアドレスへ直接トークンを転送。
経済的損失の推定
サイバーセキュリティ企業による分析に基づき、被害額については以下の通り推定されています：
- Hudson Rock社は、コードに事前にプログラムされていた攻撃者のアドレスに約219万ドルが存在すると推定。
- 一方、サイバーセキュリティ企業のGoPlusは、攻撃が710の入金ウォレットと731の異なるアドレスを経由したことを指摘し、損失額は最大271万ドルに達する可能性があると示唆。
DebugBear側はセキュリティインシデントの発生を認め、専門のインシデント対応チームの協力を得ていると述べるとともに、ユーザーに対して自社のスニペットを直ちにサイトから削除するよう促しました。なお、Polymarketの米国向けプラットフォームはこの攻撃の影響を受けていません。
このニュースが重要な理由
本件は、ソフトウェアセキュリティにおける増大するリスクを浮き彫りにしています。もはやメインプラットフォームの保護だけでは不十分であり、バックグラウンドで動作するすべてのツールやサービス（サードパーティの依存関係）を保護する必要があります。パフォーマンス監視ツール（RUM）を標的にすることは、これらのツールが本質的にユーザーインターフェースと対話する権限を持っているため、極めて危険な脅威となります。これにより、従来のパスワードを突破することなくアクティブなセッション権限を悪用する攻撃が可能となり、サードパーティのリスク評価方法におけるゲームチェンジャーとなっています。