Polymarket、外部の計測スクリプト経由で利用者の資産が流出し取引を一時停止　DebugBearのRUM用JSが改ざん、約250万ドルを追跡

予測市場プラットフォームのPolymarketは10月29日（米東部時間）、国際版のPolymarket.comで第三者のプロバイダーが侵害されたとして、取引を一時停止した。BleepingComputerによると、Hudson Rockの研究者が、Web性能計測サービスDebugBearのCDNから配信されたJavaScriptに暗号資産を抜き取る処理が入っていたのを確認した。このスクリプトはログイン済みの取引セッションを乗っ取り、利用者の予測市場のポジションを売却して、攻撃者のウォレットへ送金する。コードに埋め込まれたウォレットには約2,860万POL（約257万ドル）の流入が追跡されている。CNBCは、710のウォレットから計270万ドルが引き出されたと報じている。Polymarketは米東部時間14時5分に取引をキャンセルのみのモードにし、14時37分に修正、15時5分に解決を発表した。同じ時間帯に、DebugBearのRUMスクリプトを削除するコミットが入っている。Polymarketは影響を受けた利用者に全額を補償するとしており、米国版は影響を受けていない。DebugBearはセキュリティインシデントの発生を認め、RUM製品の利用者に埋め込みコードを外すよう求めている。