← 仕様書TOPへ戻る
SECURITY · 不正攻撃の分析

DPMにおけるSybil攻撃

1人で複数アカウントを作り、自演で価格を動かして利益を抜く攻撃。
Tech Buzz Game(Pennock運営)で175 / 4,819人(3.6%)が実行、平均 +$68,567 利益を上げた実証データあり。

📖 Sybil攻撃とは

1人の人間が複数アカウントを作って、自分で自分の市場を操作してお金を抜く攻撃。

語源は1973年の小説『Sybil』(多重人格者)。元々はP2Pネットワークの研究で命名された分散システム攻撃の総称で、予測市場文脈では「複数アカでpump-and-dump自演」を指す。

1. 攻撃の前提

DPMは「ベットすると価格が上がる/下がる」動的価格機構。これを悪用する。

シェア比方式(L2-norm)の価格関数:

p_i(q) = κ · q_i / √(q_Y² + q_N²)

q が増えると p が上がる。同じユーザーの別アカが買うとさらに上がる → これが攻撃の入口。

2. 攻撃の具体手順(数字で)

1人のbot使いが Account AAccount B を作る。両方とも初期 $10,000 配布(Tech Buzz Game設定)。

初期状態:馬「ディープ」
q = 4.71、価格 = κ × q / √(q_Y² + q_N²) ≈ ¥50/share
Account A が「ディープ」に ¥1,000 ベット
→ q が増えて価格が ¥80 に上がる
→ A は安い ¥50 で買えた、20 shares 取得
Account B が「ディープ」に ¥1,000 ベット
→ 価格がさらに ¥120 に上がる
→ B は ¥80 で買って 12.5 shares 取得
Account A が 20 shares を「売却」
→ 売却価格は今の市場価格 ¥120
→ A は ¥120 × 20 = ¥2,400 受け取る
→ 利益 +¥1,400
Account B が 12.5 shares を「売却」
→ 売却価格は ¥80(Aの売却で価格下がった)
→ B は ¥80 × 12.5 = ¥1,000 受け取る
→ 損益 ±0
Account A
+¥1,400
利益
Account B
±0
捨てアカ
自分の合計
+¥1,400
純利益

本質:「Bを犠牲にしてAに利益を集中」

BはAに資金を流すための「捨てアカ」。Aだけが最終的に出金される。各アカに無料seed(Tech Buzz Game は $10k)があれば、複数アカ運用するほど効率的に資金を寄せられる。

3. Tech Buzz Gameでの実害(一次資料)

"Suppose a trader opens two accounts, A and B. He can transfer money from account B to account A by conducting a sequence of transactions in a market: Account A buys q_A shares of stock i; account B buys q_B shares of stock i; account A sells q_A shares of stock i; and account B sells q_B shares of stock i. After the 4 transactions, both accounts do not hold any stock i, but account A now has more fantasy dollars than before." — Chen, Pennock, Kasturi 2008, §6.2
カテゴリ 人数 平均純利益
Sybil(5分以内に同銘柄逆売買 5回以上) 175 +$68,567
正直なユーザー 4,644 −$661
Robot(ランダム) 100 −$11,615

正直に予測するより、自演ループする方が104倍儲かるという結果。これがDPMの構造的弱点。

4. なぜDPMで起きやすいか — 機構別比較

機構 自演ループの利益性 理由
CDA(Polymarket) ❌ 不可 自分の買いと自分の売りがそのまま match して手数料だけ消える。マッチ相手が必要
LMSR △ 同じ問題あり path-independent なので pure round-trip = zero net。だが commissionで構造保護。詳細はLMSR版
DPM ✓✓ 起きやすい 動的価格 × pool方式 × 売却機能 = 自演で価格動かして売却益を抜ける。pure round-trip も path-independent だが、free seed と dividend で profit化

正確には:pure round-trip 自体は zero net

L2-norm DPM は path-independent。同じ状態に戻る一連の取引は数学的に ±0

Tech Buzz Game で $68k 利益が出た理由は:

  1. 各アカに無料 $10k seed → 5アカ作れば $50k 開始資本
  2. 週次 dividend(市場ごとに $10,000配布)が価格に連動 → 価格pump で dividend pump
  3. これらの「外生的収入源」をAに集中

つまり「pump-dump自体で operator から金を抜く」のではなく、「pump-dumpで自分の seed + dividend を A に集中させる」のが本質。

5. ミライマでの脅威レベル

✅ 既に対策済み

⚠️ DPM導入で追加で必要な対策

  1. 同IP/同端末の複数アカ売買を即フラグ
  2. 短時間(5分以内)の同一市場での逆方向売買を高リスク判定(Tech Buzz Gameの判定基準そのまま)
  3. Sybilスコア = 1人で何アカ持ってるか × 売買の対称性
  4. 検出された不正利益は払い出さず凍結(出金審査で止める)
  5. 無料コイン配布の総量上限(登録ボーナス・ログインボーナス etc)— Tech Buzz Game の主犯

6. 結論

DPMは「みんなで予測する楽しさ」がある反面、「自分で自分を相手にできてしまう」構造的弱点がある。

LMSRは strict-proper でこの問題が小さい... と言われがちだが、実はLMSRも path-independent なので同じ脆弱性を持つ。→ LMSR版の分析へ。

ミライマはbot検出を前提にDPMを選ぶ=Tech Buzz Gameの教訓を活かすスタンス。運営損失リスクは構造的に0だが、honestユーザーが被害者になり得るので、検出と出金審査で守る。

📚 一次資料