Polymarketのセキュリティ侵害：内部ウォレットの秘密鍵流出でPOLが流出

事件の概要

2026年5月22日、暗号資産の予測市場プラットフォーム Polymarket は、内部ウォレットから POLトークンが大量に流出するセキュリティインシデント が発生したことを確認した。流出額は報道によって差があるが、約52万ドルから66万ドル以上と推定されている。

同社によると、今回の問題は スマートコントラクトの脆弱性ではなく、内部運用ウォレットの秘密鍵が漏えいしたことが原因だった。

このウォレットは、Polygon上で稼働するPolymarketのインフラの一部である UMA CTF Adapter と関連していた。

重要な点として、Polymarketは ユーザー資産や取引の決済システムは影響を受けていない と強調している。

---

UMA CTF Adapterとは

Polymarketは、現実世界の出来事をもとにした予測市場の結果を確定させるため、UMA（Universal Market Access）のOptimistic Oracle を利用している。

UMA CTF Adapter はその橋渡しとなる仕組みで、次の役割を担う。

• Polymarketの条件付きトークン（CTF）と
• UMAのオラクルシステム

を接続し、イベントの結果が確認された後に市場を正式に決済できるようにする。

つまり、これは 予測市場の結果確定に関わるインフラ層であり、Polygonネットワーク上で動作している重要なコンポーネントだ。

初期の警告では「スマートコントラクトのハッキング」と報じられたが、その後の説明では コントラクト自体は破られていない とされている。

---

どのように攻撃は発覚したのか

この異常を最初に指摘したのは、著名なオンチェーン調査員 ZachXBT だった。

ブロックチェーン上のトランザクションを監視していた彼は、Adapter関連のアドレスから

約30秒ごとに5,000 POLが引き出される不自然な取引パターン

を確認した。

この連続的な引き出しは単発の取引ではなく、**自動化された資金流出（drain）**を示唆しており、暗号資産コミュニティに警告が広まった。

その後、調査が進むにつれて被害額の推定も増加していった。

---

盗まれた資金の動き

オンチェーン分析によると、攻撃者は以下のような手順で資金を移動させた。

• 少なくとも2つの関連アドレスからPOLを流出させた
• 盗んだトークンを複数のウォレットに分散
• 一部を暗号資産取引所へ送金し換金を試みた可能性

こうした分散は、資金追跡を難しくするためにハッカーがよく使う手法だ。

ただし、ブロックチェーンは公開台帳であるため、研究者はトランザクションの流れをリアルタイムで追跡することができた。

---

なぜ「スマートコントラクトのバグではない」のか

Polymarketは後の説明で、この事件は スマートコントラクトの脆弱性ではない と明言している。

原因は次の通りだ。

内部運用ウォレットの秘密鍵が漏えいしたこと。

この違いは重要だ。

• スマートコントラクトのエクスプロイト

  • コードの欠陥を突いて資金を奪う

• 秘密鍵の侵害

  • 正規の署名権限を使ってトランザクションを実行

今回のケースでは、攻撃者は盗んだ鍵を使って 正当なトランザクションとして出金を実行していたとみられる。

つまり、システムは仕様通りに動作していたが、不正な主体が鍵を握っていたという状況だった。

---

ユーザー資産への影響

Polymarketは公式コメントで、次の点を強調した。

• ユーザー資産は影響を受けていない
• 市場の決済システムは正常に機能している
• コアインフラやスマートコントラクトは無事

そのため、プラットフォーム上の予測市場自体は 通常通り運営を継続しているとされる。

---

まだ残るセキュリティ上の疑問

ただし、事件の原因については多くの点が依然として不明のままだ。

主な疑問点は次の通り。

• 秘密鍵はどのように漏えいしたのか
• なぜ単一ウォレットが大きな資金を動かせたのか
• なぜ連続的な出金が長時間止められなかったのか
• マルチシグやHSMなどの鍵管理は導入されていたのか

詳細な技術的ポストモーテムが公開されない限り、今回の事件は

プロトコルの欠陥ではなく、運用セキュリティや鍵管理の問題だった可能性が高い

とみられている。

---

DeFiセキュリティへの教訓

この事件は、DeFiにおける典型的なリスクを改めて示した。

スマートコントラクトが安全でも、

秘密鍵管理や運用インフラが弱ければ資金は失われる。

オラクル、アダプター、運用ウォレットなど複雑なインフラを持つDeFiサービスでは、

• 厳格な鍵管理
• 権限の分離
• リアルタイム監視

といった運用セキュリティが、プロトコルの安全性と同じくらい重要だと改めて示す出来事となった。