币圈界报道：

第三方服务失守致预测市场爆发重大资金外流事件

作为全球领先的加密货币预测交易平台，Polymarket在2026年10月29日UTC时间18:05遭遇严重安全中断，被迫暂停所有新交易并启用‘仅取消订单’机制。调查确认，攻击源于一个受感染的第三方服务提供商，其恶意脚本被用于窃取用户钱包中的POL代币，总金额约达265万美元。此次事故被正式记录为影响核心预测交易接口的重大系统性故障。

应急响应：中继器冻结与交易通道全面关闭

为防止进一步资产流失，平台即时切断了所有中继器功能，并禁止新订单提交。该措施相当于启动交易系统的紧急制动装置——用户仍可撤回现有挂单，但无法发起新的交易请求。官方声明强调，当前状态属于临时防御性操作，而非常规维护：“我们正在深入调查中，目前平台处于仅允许取消订单的状态。”此举有效阻断了攻击者通过平台基础设施持续变现的可能性。

链上追踪揭示资金流向与受害者分布特征

区块链情报机构Arkham定位到一个关键地址：0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18，确认其持有约265万美元的POL代币。该地址通过一系列经由中继器路由的USDC.e至POL兑换完成资产积累，并迅速转移至多个关联钱包。这一路径将社交媒体上的零散指控转化为可验证的经济损失数据。

一位名为CarOnPolymarket的用户公开披露，其个人损失高达80万美元，同时提及朋友亦遭受约60万美元损失，呼吁其他用户立即锁定账户并停止交互。两位最大已知受害者的合计损失占追踪总额的53%，表明攻击目标高度集中于少数高净值账户，解释了事件发生速度之快以及触发紧急停机的合理性。

根源溯源：前端脚本植入暴露供应链脆弱性

根本原因并非平台核心合约缺陷，而是上游第三方服务被渗透。据Hudson Rocks披露，问题出自DebugBear提供的监控脚本，其中嵌入了用于探测已登录用户交易会话的代码，并试图自动出售其持仓。该脚本还硬编码了一个备用接收地址，与最终被盗钱包完全一致。

此发现与Polymarket自身回应吻合。平台明确表示已识别并修复漏洞，归责于“第三方供应商遭入侵”，并将案件移交执法部门处理。此类供应链攻击尤为隐蔽，因其利用合法权限绕过安全防线，用户难以察觉异常行为——签名请求看似正常，实则暗藏资产转移风险。

立场转变：从调查到承诺全额赔付

事件发生数小时内，平台态度由“仍在排查”转向明确责任归属与补偿方案。在社交平台发布声明称：“我们已识别并修复影响国际站的问题，根源系第三方服务商被攻破，相关线索已移交执法机构。”更关键的是，平台首次宣布将对所有受影响用户实施全额赔偿。

这一承诺释放出强烈信号：平台愿承担后果，而非推诿至外部责任方。此前，该平台曾在七月向执法机关移交近100个可疑账户信息以应对大规模交易异常，而本次转交内容直指盗窃行为本身，凸显事件性质的严重性。

重复性危机：五个月内三次第三方攻击暴露治理盲区

这并非首例第三方引发的安全事故。今年6月，同一类漏洞曾导致约300万美元被盗，影响不足15名用户；5月也曾因内部钱包被黑造成约70万美元损失。10月29日事件是五个月内发生的第三起类似问题。

累计数据显示，五月、六月及十月的三起事件共造成约635万美元损失，且均指向第三方接入环节的失效。尽管每次损失规模不同，但根源一致——即对前端合作方的技术审计与实时监控存在明显缺失。这种周期性重现的模式，迫使外界质疑平台在筛选与管理外部服务时的严格程度。

对预测市场可信度的深层冲击

2026年，预测市场正加速迈向主流金融体系，例如Polymarket于9月推出20倍杠杆的永续合约，美国监管机构亦在规划合规路径。然而，此次因第三方脚本劫持导致用户资产瞬间蒸发的事件，极大动摇了市场信心。

尽管快速响应与全额赔偿有助于缓解短期冲击，但攻击者能通过合法渠道注入恶意逻辑并操控用户会话的事实，将成为整个行业必须面对的警示。目前平台仍未公布具体受影响账户数量、供应商入侵细节或恢复时间表。在信息透明度未提升前，核心教训清晰可见：预测市场的安全性，取决于其最薄弱的前端连接点——哪怕只是一个第三方脚本。