Polymarket因第三方供应商遭入侵导致用户钱包被盗而暂停交易

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Polymarket因第三方供应商遭入侵导致用户钱包被盗而暂停交易

2026-10-30 08:20:23

Polymarket遭遇重大安全事件：第三方供应商漏洞导致265万美元被盗

作为交易量最大的加密货币预测市场，Polymarket于周四暂停了交易并进入“仅取消订单”模式。此前，一个受 compromised（受损/被入侵）的第三方服务提供商让攻击者从用户钱包中窃取了约265万美元。该事件记录在平台的状态页面上，时间戳为2026年10月29日UTC时间18:05，被归类为影响“预测交易API”的重大停机事故。交易所冻结了新订单并暂停了中继器（Relayer）的操作——中继器是向区块链提交交易者签名交易的服务——与此同时，工程师们正在调查这一年内最具影响力的安全失败案例之一。

紧急制动：“仅取消订单”模式与冻结的中继器

“仅取消订单”模式相当于交易大厅的紧急制动装置。用户可以撤回现有订单，但不能下达新订单，而通常代表他们提交签名交易的中继器也会被关闭。Polymarket的首份公开声明将此次暂停描述为正在进行的调查，而非已确认的系统性入侵。“我们仍在调查中，”该平台在X上发帖称，“交易所处于仅取消订单模式。您可以取消订单，但没有新订单或交易在处理。在中继器操作暂停期间，我们正在进行调查。”

措辞至关重要。通过暂停中继器操作和新订单，Polymarket切断了攻击者利用平台自身基础设施继续出售头寸所需的机制。状态页面上的通知本身也证实了这一冻结措施是防御性的，而非例行维护事件：“出于谨慎起见，我们暂时停止了交易，并正努力使平台恢复在线。”事故发生于UTC时间18:05，在原因被隔离之前，交易一直处于停滞状态。

链上取证：265万美元集中在单一钱包

区块链分析公司Arkham识别出一个地址，将其归因于疑似攻击者，该地址持有约265万美元的POL（Polygon的原生代币）。地址 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 通过一系列最近的USDC.e至POL兑换积累了资金，这些兑换通过Relay路由，随后资产被转移到其他地址。链上追踪轨迹将社交媒体上关于账户被盗的零散报道转化为可衡量的损失数字。

这些报道赋予了这次漏洞利用以人性尺度。一位名为CarOnPolymarket的交易员写道：“如果你是Polymarket用户，请锁定你的账户。我刚刚损失了80万美元。”同一用户表示，朋友在同一事件中损失了约60万美元，并敦促其他人不要与该网站交互。

两个最大公开报告的受害者——80万美元和60万美元——总计140万美元，约占追踪到攻击者钱包的265万美元的53%。这种集中度表明，漏洞利用针对的是少量高余额账户，而不是扫荡整个用户群，这一细节有助于解释损失发生得如此迅速，以至于触发了交易所的紧急停机机制。

第三方供应链向量

根本原因并非Polymarket核心合约被攻破，而是供应链上游受到了侵害。Hudson Rocks的安全研究人员表示，从DebugBear（一种Web性能监控服务）加载的脚本中包含代码，旨在搜索已登录用户的交易会话，并尝试出售其头寸并转移资产。该公司报告称，相同的钱包地址被硬编码为该脚本中的备用接收方。

这一诊断与Polymarket自身的声明相符。该平台表示已“识别并修复”了问题，并将其归咎于第三方：“我们的一家第三方提供商遭到入侵，我们已将此事转交相关执法部门。”供应链漏洞比直接黑客攻击更难防御，因为恶意代码是通过已经拥有生产环境合法访问权限的供应商传入的。对于用户而言，这种故障表现为签名请求或静默出售的头寸——在余额消失之前，这些行为看起来与正常交易无法区分。

Polymarket的回应与全额赔偿承诺

Polymarket的公众姿态在几小时内从“仍在调查中”转变为确定的修复方案。“我们已识别并修复了一个影响我们国际平台Polymarket.com的问题。我们的一家第三方提供商遭到入侵，我们已将此事转交相关执法部门，”该公司在X上表示，并补充了一项将塑造本事件结局的承诺：“任何受到影响的人都将得到全额赔偿。”

“全额赔偿”承诺是一项补偿受害者的保证，这也是迄今为止最清晰的信号，表明Polymarket打算承担损失，而不是就谁应为一个供应商失败的后果提起诉讼承担责任。该平台此前曾将钱包地址转交给执法部门——例如七月一起涉及2亿美元可疑交易的案件中，近100个账户被转交——但此次转交涉及的是盗窃，而非交易活动。

重复出现的第三方故障模式

这已经不是第一次第三方成为Polymarket安全链条中的薄弱环节。今年6月，该平台遭受了一次供应商漏洞攻击，导致约300万美元被盗，影响了少于15个账户。在此之前，5月份的一次入侵从一个内部钱包中盗取了约70万美元。10月29日的事件是五个月内发生的第三起安全事件。

算术事实值得明确陈述：五月、六月和十月的事件分别造成了约70万美元、300万美元和265万美元的损失——在三起均追溯至第三方访问而非预测市场协议本身缺陷的事件中，累计损失约为635万美元。一次大规模损失是一个事故；五个月内三次出现相同根源原因的同类事件则是一种模式，这直接引发了一个问题：Polymarket对其允许接入前端的前端供应商进行了多么严格的审计？

漏洞利用对预测市场的意义

预测市场在2026年一直在推动进入主流金融领域——Polymarket在9月推出了高达20倍杠杆的永续合约交易，美国监管机构也在为该类业务的境内化绘制路径。这种迫使交易停摆的钱包被盗漏洞利用事件，会让用户和监管者都感到警惕。迅速的响应和全额赔偿承诺将限制即时损害，但监控供应商的脚本能够侵入用户会话并出售头寸的事实，将被所有依赖类似第三方工具的其他场所深入研究。

目前，随着Polymarket完成调查并努力使平台恢复在线，交易所仍处于“仅取消订单”模式。该公司尚未披露受影响账户的数量、供应商是如何被入侵的，或者全面恢复交易的时间表。在这些细节公布之前，给用户的教训依然不变：预测市场头寸的安全性，取决于接入管理它的前端的 weakest third party（最脆弱的第三方）。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。币市通对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。币市通用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与币市通无关。币市通不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文