Polymarketで約1億円のエクスプロイト発生——内部チャージ用ウォレットが標的に、ユーザー資金は無事

ポイント

予測市場プラットフォームのPolymarketが「内部トップアップ（チャージ用）ウォレット」を狙ったエクスプロイトを受け、約70万ドル（約1億円）が流出
ユーザーの預け入れ資金、スマートコントラクト、コアインフラへの影響はなしとPolymarket側が明言
攻撃対象はバックエンドの内部運用ウォレットに限定されており、トレーダーのポジションに直接影響なし
DeFi（分散型金融）・予測市場セクター全体で、内部インフラを狙った攻撃が増加している傾向と一致

2025年5月、予測市場最大手のPolymarketが内部チャージ用ウォレットを悪用するエクスプロイトに遭遇し、約70万ドルが抜き取られた。ユーザー資産への直接的な被害はないとプラットフォーム側は発表しているが、内部運用における脆弱性が露呈した形だ。

何が起きたのか

今回の攻撃で標的になったのは、Polymarketが内部運用に使っている「トップアップウォレット」と呼ばれる仕組みだ。これはユーザーが直接保有するウォレットではなく、プラットフォームが内部処理のために管理する運用資金用のウォレットである。

攻撃者はこの内部ウォレットの脆弱性を突き、約70万ドル相当を引き出した。一方、ユーザーの残高を管理するスマートコントラクトや、マーケット解決などのコアインフラは今回の影響を受けていない。Polymarket側は「ユーザー資金は安全」と強調しているが、具体的な攻撃手法や脆弱性の詳細については現時点で詳しい開示がない。

筆者がみるに、「ユーザー資金は安全」という声明はファクトとして受け取るべきだが、内部ウォレットから70万ドルが消えるという事実は、バックエンドのセキュリティ管理に問題があったことを意味する。外から見えない部分でどれだけの玉が動いているか——それが今回可視化された。

背景・なぜ重要なのか

Polymarketは米大統領選をはじめ、各種政治・経済イベントの結果に賭けられる予測市場として急成長してきた。2024年の米大統領選では数億ドル規模の流動性が集まり、主要メディアもPolymarketのオッズを引用するまでに存在感が高まった。

ただ、同プラットフォームは規制面でも注目を浴びてきた。2022年には米CFTC（商品先物取引委員会）から無登録運営を理由に140万ドルの制裁金を科され、米国ユーザーへのサービス提供も制限している。その規制リスクに加え、今回セキュリティリスクも表面化した。

DeFiやWeb3プロジェクト全体で見ても、2024〜2025年にかけてスマートコントラクト本体ではなく、周辺インフラ——ブリッジ、内部ウォレット、管理者キー——を狙った攻撃が増えている。代表例では、2022年のAxie InfinityのRoninブリッジ攻撃（約6億ドル流出）や、2024年のRadiant Capitalの管理者キー流出事件などが挙げられる。正面玄関ではなく、勝手口から入る。攻撃者の手口は確実に洗練されている。

市場への含意

予測市場セクター全体のセンチメントへの直接的な影響は限定的だろう。ユーザー資金の保全が確認されている以上、既存トレーダーがポジションをすぐに解消する理由は薄い。

ただし、投資家・トレーダーが認識しておくべき点がいくつかある。

短期的には、プラットフォームへの信頼性に疑問を持つユーザーが資金引き上げに動く可能性はゼロではない。特に大口ユーザーにとって、「内部ウォレットが狙われた」という事実は心理的に無視できない。

中長期的には、Polymarketが今回の脆弱性の開示と修正をどのように進めるかが問われる。透明性の高い事後報告（ポストモーテム）を出せるかどうかが、プラットフォームの成熟度を測る指標になる。DeFiプロジェクトはセキュリティインシデント後の対応で評価が分かれることが多い。

競合する予測市場プラットフォーム（Manifold、Kalshiなど）にとっては、差別化のチャンスになり得る局面でもある。

まとめ

Polymarketの今回のエクスプロイトは、ユーザー資金への直接被害こそなかったものの、内部運用インフラの脆弱性が70万ドルという形で可視化された事案だ。スマートコントラクトの外側——つまり人間が管理する部分——がいかに攻撃にさらされやすいかを改めて示している。プラットフォームの対応と情報開示の質が、今後の信頼回復を左右する。

よくある質問

Q1. 予測市場（プレディクション・マーケット）とは何か？

予測市場とは、将来の出来事（選挙結果、経済指標、スポーツの試合など）の結果に対して資金を賭け、予測が当たれば報酬を得られる金融的な仕組みだ。Polymarketはその代表格で、ブロックチェーン上で動作するため、オンチェーンで取引の透明性が担保されている。株式市場と異なり企業の業績ではなく「事象の確率」を売買するのが特徴で、集合知による確率推定ツールとしても注目されている。

Q2. 今回のエクスプロイトで自分のPolymarket資産は影響を受けるのか？

Polymarketの公式見解では、ユーザーが預けている資金やアクティブなマーケットのスマートコントラクトは今回の攻撃の対象外とされており、個人の残高やポジションへの直接的な影響はないとしている。ただし、プラットフォームが内部修正や調査を進める過程で一時的な機能制限が発生する可能性は排除できない。最新情報はPolymarketの公式チャンネルで随時確認することを勧める。