予測市場で相次ぐトラブル：PolymarketがCFTCの調査対象に、Myriadでは10件の市場がハッキング被害により無効化

2026年10月27日、ロイター通信は、米国商品先物取引委員会（CFTC）がPolymarketに対し、「米国ユーザーへのサービス提供禁止」という2022年の和解合意の遵守状況を審査中であると報じた。審査の焦点は、地理的位置識別の有効性、米国内における広告出稿、および米国向け取引所における顧客登録（onboarding）と顧客保護措置の実施状況である。また、その前日の10月26日には、BNB Chain上に展開する予測市場Myriadで管理者ウォレットがハッキングされ、10件の市場が無効化され、自動返金が発動した。

この2つの出来事を並べて見ると、2026年のこの分野が直面する2つの核心的リスクが明確に浮かび上がる：規制コンプライアンスと清算権限である。本稿では、予測市場を3つのレイヤーに分解して解説する——何によって清算されるのか、2026年現在の規制の進捗状況はどこまで進んでいるのか、そして一般ユーザーが実際に陥りがちな具体的な落とし穴は何か——を、分かりやすく整理する。

まず2022年の和解合意を明確に理解しよう

今年の審査を正しく理解するには、4年前に戻る必要がある。2022年1月3日、CFTCはBlockratize, Inc. d/b/a Polymarket.comに対し命令（Docket No. 22-09）を下達し、同社が『商品取引法』の第4c(b)条（7 U.S.C. § 6c(b)）および第5h(a)(1)条（7 U.S.C. § 7b-3(a)(1)）、ならびにCFTC規則32.2および37.3(a)(1)に違反したと認定した。

核心的事実は以下の通りである：Polymarketは、SEF（指定取引施設）または指定コントラクト市場（DCM）として登録されていない状態で、米国居住者に対しイベント型バイナリーオプションを提供していた。こうした商品は「スワップ（swaps）」に該当する。

科された処罰および課された義務は、いずれも極めて具体的なものであった：

• 民事罰金140万米ドル（「実質的な協力」により減額された）。
• 2022年1月14日までに、不適切な市場へのアクセス提供を停止すること。
• すべての不適切な市場を「winding down（段階的終了）」させ、参加者が全額償還を受けられるようにすること。
• 2022年1月24日までに、CFTCに対し履行済みであることを書面で証明すること。

この命令には、当時の事業規模に関する情報も記載されていた：2020年6月以降、約900件のイベント型バイナリーオプション市場が立ち上げられ、累計取引高は1.3億米ドルを超えるものだった。口座開設にはメールアドレスとユーザー名のみが必要で、他の身分情報は一切求められなかった。また、清算はPolymarket内部の「Markets Integrity Committee」が単独で判断していた。

2026年の審査：現時点ではメディア報道のみ

ここで、証拠の強度について明確にしておく必要がある。我々が確認できたのは、ロイター通信による2026年10月27日の報道およびその引用のみであり、CFTCの公式プレスリリース、命令文書、あるいはその他の公的確認資料は一切見つかっていない。報道の要点は以下の通りである：

• 今回の審査は、2026年初頭から既に開始されていたより広範なCFTC調査の一環であり、新たな法執行行動ではない；
• 審査の重点は、2022年の和解条項の違反の有無——すなわち地理的位置識別の有効性、米国内でのマーケティング活動の継続の有無、および米国向け取引所における顧客登録（onboarding）と顧客保護措置の整備状況——にある；
• CFTC、Polymarket、米司法省（DOJ）のいずれも、コメントを拒否している；
• 報道では同時に、「an investigation by itself does not necessarily indicate wrongdoing」——つまり「調査が行われていること自体が、必ずしも違法行為を意味するわけではない」——との注意書きが添えられている。

さらに、しばしば見落とされるもう一つのタイムラインがある：2024年にCFTCはすでにPolymarketの和解合意遵守状況を調査しており、DOJも同様の調査を実施していたが、これらはともに2025年7月に終了し、起訴に至らなかった。その調査期間中、FBIは2024年11月にCEOのシェイン・コプラン氏の自宅を家宅捜索している。言い換えれば、「調査対象となる」という事象は、本件においてすでに一度経験済みであり、最終的には不起訴で幕を閉じたのである。

Polymarketの現在の法的地位：オフショアサイト ≠ 米国サイト

ここは最も混同されやすい点であり、明確に区別して考える必要がある：

1. 2025年7月21日：Polymarketは、CFTCライセンスを保有するQCX, LLC取引所およびQC Clearing LLC清算所を含むQCEXを1.12億米ドルで買収すると発表した。
2. 2025年7月9日：CFTCは、Polymarketの米国法人に対し、コントラクト市場指定（DCM designation）を付与した。この事実は2025年の裁判所文書でも引用されている。
3. 2025年11月25日：CFTCは、Amended Order of Designationを承認し、「intermediated（仲介型）」運営を許可した。すなわち、先物手数料業者（FCM）を通じて米国ユーザーへアクセスすることを認めるとともに、DCMとしての全てのCEA／CFTC規則の遵守を義務付けた。

したがって、今日存在するものは二つ異なるものである：海外展開版のPolymarket（CFTCの規制対象外であり、今回「米国人へのアクセスが継続しているか」が審査されたもの）とPolymarket US（DCMライセンスを保有し、FCM仲介経由で運営）である。同一の出来事について、両プラットフォームでは価格や流動性の深さが異なる場合がある——これはバグではなく、二つの異なる規制枠組みが並存していることによる当然の結果である。

Myriad事件：決済権を奪われれば、市場は無効になる

二つ目の事例は、「予測市場が何によって成り立っているか」をより明確に示すものである。複数のメディア報道によると（Myriadの公式事故報告の原文リンクは入手できなかった）：

• 発生時刻：攻撃は2026年10月26日06時07分UTCに開始された。
• 手法：攻撃の標的となったのは、Myriad内部で一部の市場を自動作成・決済するために使用されていたadminウォレットであった。攻撃者はこのウォレットを使ってポジションを購入し、それらを勝者と宣言した上で支払いを受け取った——流動性を奪うのではなく、結果そのものを直接改ざんしたのである。
• 根本原因：Myriadは秘密鍵の漏洩を、ある名称非公開のサードパーティライブラリの脆弱性に起因すると説明しており、この漏洩は数週間前から既に発生していたとしている。
• 対応措置：合計10個の市場を無効化；影響を受けた市場の両方の側（買い・売り）の保有者に対して、「保有シェア × 攻撃前の最終価格」に基づき自動返金を実施。すでに不正な決済から受け取った賞金は、返金額から差し引かれる。資金源は「回収資産 ＋ 市場プール」であり、ユーザーは申請不要で、返金は自動的にウォレットへ入金される。
• 確認可能な具体例：BscScanの記録によると、adminによるトランザクションが市場105144（「OpenAI vs Anthropic IPO」）の決済を実行し、その後約11,609 USDTが市場コントラクトから当該ウォレットへ送金された。さらにその後、約11,715 USDTが別のアドレスへ売却・送金されている。

注意すべき点として、Myriadは「攻撃者が資金を持ち出さず、全額が回収済み」と主張しているが、The Defiantはオンチェーン記録だけではこれを独立して検証できないと明言している——送金自体は、受取先アドレスの所有者が誰であるかを証明しないからである。また、総被害額、影響を受けたユーザー数、返金完了時期については、公式から一切の公表がない。

今回の事件で最も重要な教訓は、金額よりも技術的な側面にある：予測市場においては、「誰が結果を宣言できるか」が「誰が取引できるか」よりもはるかに重要である。取引権限が侵害されても、せいぜいフロントランニングが起きる程度だが、決済権限が侵害されれば、市場全体が即座に無効となる。

決済メカニズム：あなたが実際には「誰が結果を宣言するか」に賭けている

各プラットフォームの決済プロセスは大きく異なり、それがそのままあなたのリスク露出を決定づける：

• Polymarket（海外展開版）： UMAのオプティミスティックオラクルに依存——まず結果を提案し、チャレンジ期間を設け、異議があればUMAのDVMによる仲裁へとエスカレーションする。リスクは、誤った結果が提案されても、チャレンジ期間中に誰も異議を唱えなければ、その誤りが確定してしまう点にある。
• Kalshi：CFTCのDCMライセンスを保有しており、ルールおよび決済は連邦レベルの規制枠組みにより拘束される。
• Myriad：オフチェーン／オンチェーン混合型の注文簿を採用、APIにはoracleフィールドが存在する；「Myriad自身が決済を行う市場」ではこのフィールドは空欄であり、つまりプラットフォームが独自に決済可能——今回の事件はまさにこの点を突いたものであった。

もう一つの観点として「シェア経済」がある：勝者の1シェアあたりの決済額は1米ドル、敗者のそれは0米ドルであり、価格そのものが市場の暗黙の確率を反映している。つまり、価格は確率の「真の値」を意味しない——それは単に参加者が資金で投票した結果にすぎない。流動性が薄い場合や、誰かが非公開情報を保有している場合には、価格は体系的に乖離する。

2026年の規制状況：連邦政府は前進中、州政府は執行中、裁判所は分裂中

今年最も記憶に留めておくべき構造的事実はこれである——「CFTCライセンスを取得した」という事実は、すべての州で無条件に営業可能であることを意味しない：

1. 2026年3月12日：CFTC市場監視部が、DCMにおけるイベント契約（特にスポーツ関連契約）の上場に関するStaff Advisoryを発行。同日にANPR（意見募集公告）も発表。
2. 2026年6月12日：CFTCは『連邦官報』（Federal Register）にて、提案規則『Prediction Markets; Public Interest Determinations』（RIN 3038-AF65、91 FR 35806）を公示。この規則案では、「公共の利益に反する」と判断される可能性のあるイベント契約の範囲を明確化し、上場・清算を禁止する根拠とするとともに、「gaming」などの概念を定義するものである。コメント募集期限は2026年7月27日。
3. 2026年4月6日 第三巡回裁判所：KalshiEX v. Flaherty（No. 25-1922）において、仮処分の維持を認定。CEA（商品取引法）がニュージャージー州のギャンブル法に対して優先適用される可能性が高いと判断した。
4. 2026年8月28日 第九巡回裁判所：KalshiEX v. Assad（No. 25-7516）において、仮処分の解除を維持。CEAはおそらく優先適用されないと判断し、理由として、同社のスポーツイベント契約は「swaps（スワップ）」に該当せず、ネバダ州は引き続き規制執行を継続できるとした。

二つの巡回裁判所が相反する結論を下したことから、同一の商品がA州では合法でもB州では禁止される可能性がある——地域ごとの差異は、2026年においても予測市場最大の不確実性の要因である。

一般ユーザーが直面する6つの現実的なリスク

1. 決済に関する紛争：誤りや時期尚早の決済提案がチャレンジ期間内に誰にも異議申し立てられなければ、そのまま成立します。Polymarket の UMA メカニズムでは、あなたが異議を申し立てられる権利がありますが、そのためには市場を監視し、証拠金を預託する必要があります。
2. プラットフォーム内部の権限がハッキングされた事例：Myriad では一度のインシデントで10件のマーケットが無効化されました。全額返金を約束したとしても、あなたが負担するのは時間的コストと、「当社が資金を回収済み」という声明に対する信用リスクです。
3. 地域および法執行リスク：VPN を使って海外拠点のプラットフォームにアクセスすることは、それ自体で法執行リスクを伴う可能性があります。2026年4月23日、CFTC および DOJ は、現役の米陸軍特殊部隊軍曹である Gannon Ken Van Dyke 氏に対し、「Operation Absolute Resolve」に関する機密情報を悪用して Polymarket で「Yes」シェア約 33,000 米ドル分 を購入し、約 409,881 米ドル の利益を得たとして、並行する民事・刑事訴追を開始しました。Van Dyke 氏は VPN を使って自身の所在地を隠蔽していた（刑事事件番号：26 Cr. 156）。
4. 州レベルでのサービス停止：第9巡回控訴裁判所は、ネバダ州による Kalshi のスポーツ関連コントラクトへの規制執行を認めています。他の州ではこれとは異なる判決が出ているケースもあり、プラットフォームの利用可否は州ごとに異なる可能性があります。
5. インサイダー情報による非対称性：Van Dyke 氏の事件は、非公開情報を保有する者が安定的に利益を得られることを示しています。あなたが直面しているのは「純粋な確率市場」ではなく、情報の非対称性を伴う市場です。
6. 流動性の断片化：Polymarket の海外版サイトは全体の取引量のわずか 4％、Polymarket US は 12％を占めています。同一イベントについても、両プラットフォーム間で価格と板の厚みが異なり、一般ユーザーにはクロスプラットフォームでの裁定取引が開放されていません。

他の「オンチェーン上での実際の利用量」データと比較したい場合は、AI エージェントが1年間に1億3,800万件のオンチェーン決済を実行という記事内の x402 の実際の呼び出し規模をご参照ください。また、「資産の決済を誰が代行しているのか？」という問いのもう一方の側面については、Arthur Hayes の2026年見解の振り返りで言及されている AI 算力デリバティブ構想も、本質的には新たな決済・価格決定メカニズムの設計を意図しています。

よくある質問

Polymarket はアメリカで本当に合法なのですか？

主体を区別する必要があります。海外拠点の Polymarket は、2022年に米国居住者に対して未登録のイベント型バイナリオプションを提供したとして、140万米ドルの罰金処分を受け、不適切な市場へのアクセス提供を中止するよう命じられました。DCM ライセンスを保有しているのは別の法人である Polymarket US であり、2025年11月25日に CFTC から FCM（先物取引業者）としての中間業者運営が承認されています。「Polymarket は合法になった」という結論を安易に受け入れる前に、自分が利用しているのがどのサイトかをまず確認してください。

CFTC からの調査を受けているということは、何か問題が起きるということですか？

そう単純には推論できません。今回の審査は、「2022年の和解条項に違反していないか」を確認するためのコンプライアンスチェックであり、報道でも明記されている通り、「調査を受けている＝違反している」とは限りません。また、2024年に実施された同様の調査（DOJ によるものも含む）は、2025年7月に終了しており、いずれも起訴に至っていません。現時点での根拠はあくまで「メディア報道」の段階であり、CFTC は公式にこれを確認していません。

Myriad の無効化された10件のマーケットで、私のお金はどうなるのですか？

公式発表によると、影響を受けたマーケットの両方向（Yes／No）の保有者は、それぞれ「保有シェア × 攻撃発生前の最終価格」に基づき自動的に返金されます。すでに受け取った賞金は、この返金額から差し引かれ、申請手続きは不要です。ただし、以下の3点に注意が必要です：① 返金額は攻撃発生前の価格に基づき算出され、あなたの購入価格ではありません；② 資金源は「回収済み資産＋マーケットプール」ですが、プールの残高が不足した場合の支払い順位については、公式から開示されていません；③ 「攻撃者が資金を引き出していない」という主張は、オンチェーン上の記録からは独立して検証できません。

なぜ「決済権」の方が「取引権」よりも危険だと言われるのですか？

取引権が盗まれた場合、最悪でも誤った価格で取引が成立するだけですが、決済権が盗まれた場合、プラットフォームが直接「誰が勝者か」を宣言できるからです。Myriad の事例では、admin ウォレットがポジションを購入→勝者と宣言→支払いを受領するという一連の流れが、たった1ステップで完了しました。プラットフォームを選ぶ際には、まずその決済プロセス（楽観的オラクルか、外部オラクルか、あるいはプラットフォームによる自己決済か）を確認し、その後で取引手数料を検討してください。

1,185 億米ドルの出来高は本当ですか？

これは「コントラクトの額面価値」ベースの数字であり、実際の賭け金額ではありません。同じページ上で、過去30日間の実際の現金支払額は 287 億米ドル、24時間では 38 億米ドル です。額面価値をキャッシュフローとして引用すると、この分野の規模を約4倍に過大評価することになります。

リスク警告：予測市場コントラクトは高リスク商品であり、元本全額を失う可能性があります。本稿は投資助言を構成しません。文中の CFTC による2026年の審査に関する記述はすべてメディア報道に基づくものであり、規制当局による公式確認は得られていません。Myriad インシデントにおける総損害額、影響を受けたユーザー数、および資金回収状況については、プロジェクト側の声明のみに基づき、第三者による独立検証は行われていません。業界全体の出来高データは第三者機関による統計であり、統計方法の違い（コントラクトの額面価値 vs 実際の現金支払額）が存在します。イベント型コントラクトの合法性については、管轄司法区域ごとに判断が異なり、参加に先立ち、ご自身の居住地における法的状況およびプラットフォームのライセンス保有状況を必ずご確認ください。