币圈界报道：

Polymarket 平台遭遇严重安全事件：第三方脚本被利用引发大规模资金流失

2026年10月29日，预测市场平台Polymarket遭遇重大安全危机。在不到一小时内，数百名用户的账户资金在未经明确授权的情况下被迅速转出，引发市场广泛关注。公司方面将责任归于受控的第三方服务提供商，而非自身系统缺陷。

平台运作机制与资金托管方式解析

Polymarket允许用户对选举、体育赛事及宏观经济数据等真实事件进行投注，每份合约的价值取决于事件结果。其国际版本基于Polygon公有链运行，所有交易均公开可查。用户余额由关联钱包持有，每一笔转账均可通过官方区块链浏览器追溯，但无法直接关联到具体身份信息。

此次攻击的本质：非传统黑客手段，而是权限滥用

不同于常见的私钥泄露或钓鱼网站诱导，本次事件中并未发现窃取种子短语或登录凭证的恶意代码。攻击者通过复用已登录用户的有效会话权限，绕过常规验证流程。由于攻击载荷嵌入于官方站点本身，无需伪造页面即可实现远程控制，显著提升了隐蔽性与成功率。

攻击路径溯源：来自DebugBear的监控脚本被劫持

Polymarket网站加载了一个由英国公司DebugBear提供的性能监控脚本。该脚本在每个页面加载时执行，并享有与主站代码同等的信任级别。据调查，攻击者通过篡改DebugBear的DNS记录，使原本指向合法服务器的请求转向恶意源。替换后的脚本不再监测页面性能，而是主动探测活跃的Polymarket会话并发起转账。

事件时间线还原：从首次提款到资金冻结全过程

根据公开的Polygon链上数据和构建日志，事件时间线清晰呈现：17:10首次出现未经授权的提款；17:25进入集中盗取阶段；17:59监控脚本被移除；约18:05启动仅取消模式，中继服务暂停；18:10完成最后一次盗取；约19:00交易功能逐步恢复。值得注意的是，即使脚本已被清除，资金流出仍持续至18:10，表明中继器停用才是阻止损失的关键。

被盗资金流向分析：拆分与兑现操作高度自动化

链上数据显示，共有737个账户发生985次异常提款，总金额约为273万美元。部分追踪工具报告为710个钱包，损失区间介于250万至270万美元之间。其中，一个硬编码的备用接收地址获取了约2860万枚POL代币（价值约264万美元），随后被分散至三个新钱包。此外，攻击者还创建新账户以兑现从33个账户提取的预测份额。样本分析显示，每次授权在创建后三至七秒内即被使用，证实整个过程为高度自动化的批量操作。

平台应对措施与用户补偿进展

事发后，Polymarket立即暂停国际交易，移除受损脚本，清除缓存并重置所有登录会话。独立美国平台未受影响，案件已移交英国执法部门处理。截至10月30日，约95%的受影响用户（689/726）已获得全额返还，总计退款达390万美元，涵盖270万直接损失及约120万因系统停摆造成的间接损失。未来平台计划加强对外部脚本的管控，包括实施更严格的CSP规则、固定版本引用与沙箱隔离机制。

为何现有防护机制未能拦截攻击？

内容安全策略（CSP）虽能限制外部资源加载，但由于恶意脚本源自经认证的域名，未触发警报。子资源完整性（SRI）本可检测文件指纹差异，但当前极少有网站启用此功能。同时，链上每笔交易均带有有效签名，使得行为在区块链层面表现为合法操作，难以识别为异常。

类似事件并非首例：历史重现警示监管缺失

2026年6月，同一类攻击曾造成约300万美元损失，当时也承诺退款。分析指出，此类事件反复发生反映的是供应链安全管理薄弱，而非偶然失误。截至目前，Polymarket尚未披露自6月以来所采取的改进措施。专家建议用户定期审查活跃会话，及时撤销未使用的授权以降低风险。

尚待确认的关键问题：攻击细节与影响范围仍不完整

攻击者如何取得对DebugBear DNS的控制权尚未公布；替换脚本首次上线的具体时间未知，导致实际受害人数只能估算；不同追踪工具统计结果存在差异，最终损失总额仍存争议；研究人员在未实际运行脚本的前提下分析其行为，因此无法完全验证所有转账是否成功执行。

事件总结：信任链条断裂带来系统性风险

此次事件揭示了依赖第三方服务所带来的深层安全隐患——一个被信任的脚本一旦被劫持，即可转化为对用户账户的全面控制权。智能合约本身未被破坏，整个过程持续约一小时，呈现出典型的自动化特征。虽然多数用户已获赔偿，但攻击路径、暴露窗口及确切损失规模仍有待官方进一步披露。随着更多加密项目面临相似挑战，该事件将成为评估整体生态安全架构的重要参考案例。