対象：Polymarketの利用者と、外部サービスのスクリプトを読み込むサイトを運営している人。本記事はPolymarketの公式ステータスページと報道にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月31日時点まだ分かっていないこと
- 公式の損失額
- 影響を受けた利用者の数
- 補償の方法
- 提供元がどう侵害されたか
Polymarketのステータスページは10月29日にインシデントを解決済みとしています。当サイトが10月31日に確認した範囲では、続報は出ていません。報道によれば、提供元は自社の顧客に、そのスクリプトを外すよう案内しています。
利用者が今日やること
公式サイトで口座を確認する
メッセージのリンクではなく、自分でアドレスを入力してPolymarketを開き、10月29日前後のポジション、残高、履歴を確認してください。自分の操作と合わない点があれば、公式サイトに載っている窓口からPolymarketに連絡してください。
補償を名目にした連絡には応じない
Polymarketのステータスページは、影響を受けた利用者に補償するとしていますが、請求の手続きは示していません。こうしたときは詐欺が増えます。メール、ダイレクトメッセージ、返信のリンクを開かず、新しいサイトにウォレットを接続せず、「受け取り」のための署名もしないでください。公式サイトかステータスページの発表を待ってください。
復元用フレーズや秘密鍵は誰にも教えない
正規のサポートがそれらを必要とすることはありません。Polymarketの名前が出ていてもいなくても同じです（フィッシングとは）。
自分の置き方を見直すきっかけにする
当サイトは金融の助言はしません。一般論として、取引所に置く必要のない資金は別の場所のほうが安全で、運営が補償していても、次のログインを狙う詐欺のリスクはなくなりません。パスワードの使い回しは別のリスクです（パスワードが漏れたか確認する方法）。
何が起きたのか（Polymarketの発表と報道より）
公式の時刻はPolymarketのステータスページ（UTC表記）を米東部時間に直したものです。「報道」と付けた時刻は、セキュリティ調査会社の分析を伝える報道によるもので、Polymarketの発表ではありません。
2026年10月29日 午後1時50分〜1時56分 ET（報道）
BleepingComputerが自らブロックチェーンの動きを調べたところ、攻撃者のものと疑われるウォレットから、予測市場のトークンの契約に関わる取引が、午後1時50分〜1時56分 ETにあった。午後1時59分 ET（報道）
報道は、セキュリティ調査会社の分析として、この時刻の本番ビルドで、第三者の監視サービスの組み込みが外されたと伝えている。午後2時5分 ET（Polymarket）
ステータスページ：調査のため、注文取消しのみのモードにし、リレイヤーの動作を停止した。午後2時37分 ET（Polymarket）
ステータスページ：問題を特定して修正した。第三者の提供元が侵害された。法執行機関に通報した。影響を受けた人は損失を埋め合わせる（made whole）。念のため（out of an abundance of caution）取引を一時停止した。午後3時ごろ ET（Polymarket）
再開の見込みとされ、ステータスページは午後3時5分にインシデントを解決済みとした。報道は、停止から約1時間後に取引が再開したと伝えている。
- サービス
- Polymarket.comの国際版。報道は米国版は影響を受けなかったと伝えている。Polymarketの発表が挙げているのは国際版のみ
- Polymarketの説明
- 第三者の提供元が侵害された。問題を特定して修正した。法執行機関に通報した。影響を受けた利用者に補償する
- 報道が伝えること（Polymarketの発表ではない）
- 提供元はウェブサイトの性能を測る監視サービスで、そのスクリプトがPolymarketのページで動いていた。伝えられている挙動：ログイン中の利用者の口座に対して、ポジションの売却、または攻撃者が指定したアドレスへのポジショントークンの移転を行った。調査会社は、パスワード・復元用フレーズ・秘密鍵を集めるコードは見つからなかったとしている
- 金額
- Polymarketは公表していない。報道と分析会社は、疑われるウォレットまで約219万〜271万ドルを追跡。下限の数字は調査会社が1つのウォレットの保有額として出したもので、SecurityWeekは検証済みの集計ではないとしている。ある分析会社の見方（SecurityWeekの報道）では、アドレス数は被害者数と同じではない
- 提供元の対応
- 報道によれば、提供元はセキュリティインシデントを認め、顧客にスクリプトを外すよう案内した
分かっていること・分かっていないこと
2026年10月31日時点の状態です。
| 項目 | 発表・報道の内容 | 状態 |
|---|---|---|
| 第三者の提供元が侵害された | Polymarketのステータスページ（10月29日） | 確定（Polymarket） |
| 取引の停止と再開 | 午後2時37分 ETに停止、午後3時5分 ETに解決済み | 確定（Polymarket） |
| 法執行機関への通報 | ステータスページに記載 | 確定（Polymarket） |
| 利用者への補償 | 「影響を受けた利用者に補償する」 | 確定（Polymarket）、詳細は記載なし |
| 提供元の種類 | ウェブサイトの性能を測る監視サービス | 報道（2社） |
| スクリプトの挙動 | ログイン中の利用者の保有分の売却・移転 | 報道（調査会社の分析） |
| 金額 | 約219万〜271万ドルを追跡 | 報道の推計、公式の数字なし |
| 影響を受けた利用者の数 | 記載なし | 記載なし |
| 提供元がどう侵害されたか | 記載なし | 調査中（報道） |
| パスワードや復元用フレーズの流出 | 調査会社は送信するコードを見つけていない | 第三者の調査結果、Polymarketは確認していない |
ログイン中のページで第三者スクリプトが危険になる理由
サイトが外部サービスから読み込むスクリプトは、サイト自身のコードと同じ権限で動きます。一般に、利用者がログインしているページでは、そのようなスクリプトは利用者の見ている内容を見ることができ、利用者がすでに持っているセッションで操作できます。外部の提供元が侵害されると、サイト自身のサーバーが破られていなくても、利用者に影響が及ぶのはこのためです。これは一般的な理由の説明で、今回の件についての追加の事実ではありません。
公開情報から目につく点が2つあります。影響を受けた提供元のスクリプトは監視用で、多くのサイトが性能データのために入れ、全ページで動くものだったこと。そして、報道によれば、最初の不審な取引の約10分後の時刻の本番ビルドで組み込みが外されており、サイト側がスクリプトを切れれば、影響が早く止まることです。
サイト運営者向け：公開情報から言える3つの確認
Polymarketは原因を公表していないため、この節は同社の対策を評価しません。上の事実だけを使います。
ログイン中の利用者がいるページで動く外部スクリプトをすべて書き出す
分析、監視、チャット、タグ管理を含めます。それぞれについて、誰のものか、なぜ入れているか、誰が止められるかを書きます。特に送金や設定変更をするページでは、不要なものを外してください。今でも意味のあるセキュリティヘッダーも参照してください。
外部スクリプトにできることを制限する
コンテンツセキュリティポリシーで、スクリプトの読み込み元とデータの送信先を制限できます。サブリソース完全性（SRI）は、固定のファイルとして配る場合には役立ちますが、提供元が正規にファイルを変えたときには効きません。そのため、最もリスクの高いページでは、確認したスクリプトを自社ドメインから配るか、読み込まないことを検討してください。
セッションだけで高額な操作を許可しない
売却、出金、送金先の変更には、署名の確認、2段階認証、通知つきの待ち時間などの再確認を求めます。既存のセッションを使うだけのスクリプトが、黙って完了できなくなります。
当サイトの見方：最初の対応の速さが結果を分ける
報道によれば、最初の不審な取引の約10分後の時刻の本番ビルドで、組み込みが外されました。外部スクリプトをすぐ止められる手順を文書にしておくこと、異常な取引パターンを知らせる警報を持つことが、長いインシデントを短くします。
第三者の提供元のスクリプトが侵害された
↓→
ログイン中のページで、どの外部スクリプトが動いているか
スクリプトがログイン中のセッションを通じて操作した（報道）
↓→
高額な操作に再確認を求めているか
約10分後のビルドで組み込みを外した（報道）
↓→
外部スクリプトをすぐ止められるか
出典（公開情報）
- Polymarket ステータスページ "Polymarket exchange disruption"（2026年10月29日、英語）— status.polymarket.com
- BleepingComputer "Polymarket halts trading after crypto-draining script breach, $2.5M traced"（2026年10月、英語）— bleepingcomputer.com
- SecurityWeek "$2 million drained from Polymarket traders in new supply chain attack"（2026年10月30日、英語）— securityweek.com
提供元の種類、スクリプトの挙動、金額は報道にもとづき、上でそのように示しています。報道は同社の声明も引いていますが、公式の文言はステータスページを根拠にしています。
更新履歴
2026-10-31：初版。Polymarketのステータスページと報道2件にもとづく。損失額、補償の手続き、原因が公表されたら更新します。
次に読む
- 同じ型の事件：APORITOオンラインストア（RIZAP）のカード情報漏えいのおそれ
- 暗号資産の被害：Bitgetの暗号資産流出
- 2026年のほかの事件：2026年の情報漏洩・サイバー攻撃