ヘアドライヤーで34,000ドル ── シャルル・ド・ゴール空港の温度計操作事件が露呈した予測市場の「物理オラクル問題」

## 第1章：事案の事実関係 ― 何が起きたのか ### 二度の温度スパイク Bloomberg報道（2026年4月23日）、CNN、Météo-France広報担当Laurent Becler氏のコメント、HD Rain CEO・元Météo-France気象学者Ruben Hallali氏の証言により、事実関係は以下の通り確定している。 第1事案（4月6日）：シャルル・ド・ゴール空港のLFPG観測所で、夕方に約12分間で4℃急上昇し21〜22℃に到達。周辺観測所のデータと整合せず、大気条件にも合致しない異常値だった。Polymarketの「パリの当日最高気温」契約で、22℃以上に集中的に賭けた攻撃者が約14,000ドルを獲得。 第2事案（4月15日）：同センサーが18℃から22℃へ急上昇。当該日の取引高は590,527ドルに達し、4月の通常取引高の倍以上だった。攻撃者は約20,000ドル以上を獲得。 ### 「ヘアドライヤー」説とその根拠 Hallali氏は本人の証言で「センサーの動作原理を熟知した者が、加熱機器を温度計付近に設置した可能性が高い」と分析。Le HuffPost、Euronews、BeInCryptoなど複数メディアが「ヘアドライヤーまたは類似の小型加熱機器」の使用を報じている。ただし犯行動画として流通した一部映像はAI生成と判定されたものも含まれており、加熱機器の特定は捜査中である。重要なのは、「物理的に近接して局所加熱した」という攻撃ベクトル自体は気象データから明確だという点だ。 ### Météo-Franceの対応 Météo-Franceは2026年4月21日、ロワシー航空輸送憲兵隊にフランス刑法323条の2「自動データ処理システムの不正改変」容疑で正式に刑事告訴。最大懲役5〜7年の刑事罰対象である。同観測所には警備員を配置済み。ただし空港の航空管制にも温度データが利用されるため、本件は単なる詐欺ではなく航空安全リスクを伴う事案である点が重要だ。 ### Polymarket側の対応 Polymarketは2026年4月19日、決済データソースをLFPG（シャルル・ド・ゴール）からLFPB（パリ・ル・ブルジェ空港）に変更した。ただし過去の市場決済の取消・払い戻しは行わず、公式声明も発出していない。 ## 第2章：本事案が「物理オラクル攻撃」として持つ意味 ### オラクル攻撃の歴史的進化 ブロックチェーンの「オラクル問題」（外部データを信頼可能にチェーンに取り込む問題）は10年以上前から指摘されてきた。攻撃ベクトルは時代と共に進化している。第1世代は2020〜2022年のフラッシュローン型価格操作（薄板取引ペアの価格を一時的に歪める）。第2世代は2024〜2025年のガバナンス型操作（後述のUMAホエール票による結果改ざん）。そして第3世代として登場したのが、本件の物理オラクル攻撃である。 ポッドキャストホストAakash Gupta氏のコメントが業界の核心を捉えている：「暗号業界が10年間あらゆるホワイトペーパーで警告してきたオラクル問題を、誰かがついに34,000ドルとヘアドライヤーで実演してみせた」「暗号で最も難しい部分はチェーンだが、最も弱い部分は温度計だ」。 ### 攻撃コストと収益の極端な非対称性 本件の構造を経済学的に評価すると、攻撃者の投入コストはヘアドライヤー1台＋空港周辺への移動コスト＋数十ドルの賭け金にすぎない。これに対し収益は34,000ドル以上、関連市場全体での流動性は140万ドル。ROIが3桁〜4桁倍という、サイバー犯罪としては極めて魅力的な経済性を持つ。この攻撃を防ぐ側のコスト（多重センサー設置・警備・地理的離散化）はそれをはるかに上回るため、放置すれば模倣犯を生む構造的問題である。 ### 4月18日Kelp DAOハックとの並列性 本件は、わずか3日後に発生したKelp DAO 2.92億ドル流出事件（北朝鮮ラザルス関与のRPC汚染攻撃）と、構造上ほぼ同型である。両者とも「スマートコントラクト本体は無傷」「攻撃の標的はオフチェーン情報源」「単一障害点（Single Point of Failure）」「監視ダッシュボードでは異常を検知できない」という共通項を持つ。つまり2026年4月は、「DeFiのRPC汚染」と「予測市場の物理センサー攻撃」が同時並行で発生し、業界に同じ警告を発した月となった。 ## 第3章：Polymarketの構造的不完全さ ― オラクル問題の二重構造 ### 構造1：物理オラクル層の脆弱性 Polymarketは平均的な天気・スポーツ・暗号資産価格契約で、単一の権威データソースに依存している。シャルル・ド・ゴール空港事案の本質は、Le Bourget空港への切り替えで解決しないことだ。「同等のセキュリティ水準を持つ別の単一センサー」に置き換えただけで、攻撃ベクトル自体は無効化されていない。 ### 構造2：UMAオラクルのガバナンス脆弱性 Polymarketが市場決済に使用するUMA Optimistic Oracle V2（一部はManaged OOV2へ移行済）は、異議申し立てが行われた場合にUMAトークン保有者の投票で決着する設計だ。過去の代表的事例： 2024年7月：イーサリアムETF事案：「2024年5月31日までにETF承認されるか」がUMAオラクルで誤って「Yes」決議された。 2024年7月：ベネズエラ大統領選事案：Edmundo Gonzálezが勝者として誤決議された。 2025年3月：ウクライナ鉱物協定事案：「4月までにウクライナがトランプ政権との鉱物協定に署名するか」が、実際には未署名にも関わらずホエール（一説に600万UMA票を集めた者）の投票操作で「Yes」決議された。約700万ドルの「No」ベットが消失。Nothing Researchの分析によれば、攻撃者は自身保有＋デリゲート票を駆使し、約10〜30万ドルの利益を得たと推定される。Polymarketは「前例のないガバナンス攻撃」と公式に認定したものの、払い戻しは行わなかった。 2025年12月：UFO機密解除事案：「2025年中にトランプ政権がUFO関連書類を機密解除するか」が、実際には書類非公開にも関わらず16百万ドル市場で「Yes」決議。 ### 構造3：「オラクル設計のトリレンマ」 これらの事例から浮上するのは、予測市場のオラクルが「真実性・分散性・操作耐性」のトリレンマに直面しているという事実だ。単一データソース（真実性◯／操作耐性✕）、トークン投票（分散性◯／真実性✕）、ホワイトリスト型提案者（操作耐性◯／分散性✕）、いずれも片方の角を犠牲にしている。 ## 第4章：今後の改善方向 ― 5つの構造的処方箋 ### 1. 「複数センサー集約＋外れ値検出」の標準化 本件で最も即効性のある対策は、Polymarketが3つ以上の独立した気象観測所のデータを加重平均で集約し、統計的外れ値（例：Z-score >2.5、隣接観測所差>3℃など）を自動排除する仕組みを実装することだ。これは技術的に確立された手法であり、Chainlink Data Feedsが暗号資産価格で20年以上前から実装している標準的な耐操作設計である。 ### 2. 「物理セキュリティ層」の常識化 気象センサー、為替レート提供機関、スポーツデータ会社など、物理的にアクセス可能な情報源は、警備強化・封印筐体・タンパー検出センサー（蓋を開けると無効化される機構）を標準装備すべきである。Météo-Franceは事案後に警備員を配置したが、これは事後対応であり、世界各地の気象観測所が同様のリスクに晒されたままである。 ### 3. ハイブリッドオラクルへの移行 EigenLayerのAVS（Actively Validated Service）、Pyth Network、Chainlink Data Streams、新興のRedstone等、複数のオラクルを並列運用し、合意が取れた場合のみ決済確定する仕組みが業界標準となるべきだ。Polymarket自身も2025年8月にUMA・EigenLayerと次世代オラクル研究で協業を発表しており、方向性は正しい。 ### 4. 「異常気象時の自動停止」と「事後再検証期間」 本件のように12分で4℃の急上昇は気象学的にほぼあり得ない。契約決済前に、近隣N箇所のデータと統計的整合性を自動検証し、不整合時は決済を24時間延期する仕組みは比較的容易に実装可能だ。さらにKalshi（CFTC規制下）のように、結果決済後72時間の異議申立期間を設け、その間に物理改竄が検知されれば決済を巻き戻す仕組みが望ましい。 ### 5. 「規制・保険」というオフチェーン補完 物理層の脆弱性は、暗号工学だけでは原理的に解決できない。規制下取引所（Kalshi）の優位性は、結果決済を運営者が裁量で取り消せる点にある。一方Polymarketは2026年4月時点で米国ユーザー受付け待機リストを運営しており、CFTC規制下プレイヤー化を模索している。並行して、Lloyd's of LondonやNexus Mutualのようなパラメトリック保険型のオラクル攻撃カバー商品が今後10年で主流化するであろう。本件で言及されたHD Rain（Hallali氏のCEOを務める企業）も、空港向けパラメトリック保険を扱う事業者である点は示唆的だ。 ### 【事業開発に関するインサイト】 1. シャルル・ド・ゴール空港のLFPG観測所で、夕方に約12分間で4℃急上昇し21〜22℃に到達。周辺観測所のデータと整合せず、大気条件にも合致しない異常値だった。Polymarketの「パリの当日最高気温」契約で、22℃以上に集中的に賭けた攻撃者が約14,000ドルを獲得。 2. 同センサーが18℃から22℃へ急上昇。当該日の取引高は590,527ドルに達し、4月の通常取引高の倍以上だった。攻撃者は約20,000ドル以上を獲得。 3. 3. 約20,000ドル以上を獲得。 出典：Bloomberg「France Investigates Airport Weather Data After Polymarket Betting Surge」（2026年4月23日）／CNN「France investigates suspected tampering with weather sensors after Polymarket bets」（2026年4月23日）／BeInCrypto「How a Hair Dryer Was Used to Reportedly Manipulate Polymarket」（2026年4月22日）／Euronews「Hair dryer trick behind €25,000 win?」（2026年4月23日）／Engadget（2026年4月23日）／CryptoTimes「Hairdryer Heist」（2026年4月24日）／Fibo Crypto「Polymarket: Bettors Tampered with Paris Weather Sensor」（2026年4月22日）／Maandhunter Substack「The $37,000 Hair Dryer」（2026年4月23日）／Météo-France広報官Laurent Becler氏／HD Rain CEO Ruben Hallali氏／Le HuffPost／BFMTV／The Block「Polymarket says governance attack by UMA whale」（2025年3月27日）／Webopedia「Why Is Polymarket's UMA Controversial?」（2026年1月）／Nothing Research「Governance Attack or Smart Trade?」（2025年5月）／DeepSafe Medium（2025年5月）／UMA公式ブログ「Improving Oracle Efficiency with Managed Proposers」（2025年8月）／Bitget News（2025年12月）／フランス刑法323条の2