Polymarket customers lose $3M in supply-chain attack

Polymarketはイーサリアムブロックチェーン上で稼働する予測市場プラットフォームで、ユーザーが米大統領選など実世界のイベント結果に仮想通貨でベットできる。今回の事件は、Polymarket本体のハッキングではなく「サプライチェーン攻撃」——第三者の提供するJavaScriptライブラリ（広告ブロック検出ツールなど）が改ざんされ、それを読み込んだPolymarket利用者のウォレットから約300万ドル相当の暗号資産が不正送金された。サプライチェーン攻撃はソフトウェア開発の依存関係を標的とする手法で、2023年の3CX事件や2024年のXZ Utilsバックドア事件と同種。被害者は「ウォレット接続」を許可した時点で、悪意あるトランザクションに署名させられた可能性が高い。Polymarketは約2億7800万ドルの総ベット額を集めた2024年注目のDeFiプロジェクトだが、この事件はDApp（分散型アプリ）の"非中央集権"という建前が、結局はフロントエンドのWeb技術依存という脆さを持つことを改めて露呈した。