攻撃者はnpmパッケージを通じて、Polymarketの取引ボットユーザーや DeFi 開発者に情報窃盗マルウェアを配布する。

ハッカーがGitHub上でPolymarketの予測市場を装った偽の取引ボットを作成した。このボットは、ウォレットキーやブラウザのパスワードなどのdent情報を盗むマルウェアを拡散するために使用された。.

複数のnpmアカウントで30個の悪質なパッケージが発見された。これらのパッケージは、自動売買戦略を利用する開発者やトレーダーを標的にしていたと報じられている。少なくとも53人の開発者が、この罠に引っかかった後、問題が発覚した。.

偽ボットはどのようにして53人以上の開発者に拡散したのか？

2026年7月1日、セキュリティ企業の SlowMistは 、Polymarketで大きな利益を約束する偽の取引ボットを発見した。このボットは実際にはマルウェアの配信ツールに過ぎなかった。SafeDep は 、複数のアカウントに分散し、1つの偽のGitHubリポジトリに関連付けられた30個の悪意のあるnpmパッケージを発見した。

犯人たちは、年間8万ドル以上稼げると謳う「polymarket-arbitrage-bot」を公開した。詐欺が発覚する前に、このボットは36個のスターと53回のフォークを獲得していた。ダウンロードしてインストールした開発者は全員、マルウェアを実行していた。.

攻撃者たちは、本物のトレーディングボットがPolymarketで巨額の利益を上げているという事実を認識していた 。

予測市場アナリストのデクスターズ・ラボが分析したあるボットは、わずか1ヶ月で313ドルを41万4000ドルに増やし、研究者のイゴール・ミケリンが分析した別のボットは、2ヶ月で220万ドルを稼ぎ出した。こうした tracは、手っ取り早く利益を得ようとするトレーダーにとって、この偽ボットを信憑性のあるものに見せてしまった。.

この偽トレーディングボットの手順には、ユーザーが「npm install」を実行する前に、Polymarketの秘密鍵を.envファイルに記述することが含まれていました。インストール中に、「clob-client-math」という依存関係の中に隠されたマルウェアが実行されます。.

このマルウェアは、以下のような多くの機密データを盗み出します。 

• MetaMask、Phantom、Coinbase Wallet、TrustWalletなどの暗号通貨ウォレットデータ。.
• Chrome、Firefox、Braveなどのブラウザに保存されたパスワードやCookieなどのブラウザデータ。.
• SSHキー、AWSログイン情報、npmおよびPyPIトークン。.
• Bitwarden、KeePass、1Passwordなどのパスワードマネージャーからのデータ。.
• 秘密鍵とAPIトークン。.

偽のボットをダウンロードしてしまった場合、どうすればよいですか？

セキュリティ研究者らは、今回の攻撃の背後には北朝鮮のハッカーがいると考えている。このグループは「Contagious Trader」と呼ばれる大規模な攻撃キャンペーンを展開しており、仮想通貨開発者を標的にしている。.

Cryptopolitan 報じた 3月、ハッカーがAxios開発者のアカウントを乗っ取り、悪意のあるnpmパッケージを公開したと

Polymarketのユーザーは今年、他にも様々な攻撃に直面しており、例えば6月下旬には、 フィッシング詐欺によって 少なくとも11のアカウントから294万ドルが盗まれた。

SafeDepは、偽ボット上で「npm install」を実行したコンピューターはすべてハッキングされたものとして扱うべきだと述べています。そのようなユーザーは、すべての暗号通貨ウォレットキーを直ちにローテーションし、ブラウザに保存されているすべてのパスワードを変更し、すべてのAWSdent情報、SSHキー、およびAPIトークンを交換するよう推奨されています。.

トレーダーは、npm ロック ファイルをチェックして、package.json に記載されているもののコード内で使用されていない依存関係を探すことで、30 個の悪意のあるパッケージがないか確認することも推奨されます。今回の攻撃で使用されたリポジトリの「package.json」には 4 つの依存関係が記載されていましたが、そのうち正当なものは 3 つ (公式の Polymarket SDK、ethers、および dotenv) のみでした。マルウェアを隠蔽していた 4 番目の clob-client-math は、ボットのソース コードのどこにもインポートされていませんでした。.

最善の対策は、パッケージが投稿履歴のない新規アカウントから送信されていないかを確認することです。偽のパッケージはすべて、全く新しいアカウントから投稿されていました。.

仮想通貨ニュースを読むだけでなく、理解を深めましょう。ニュースレターにご登録ください。 無料です。