币圈界报道：

Polymarket 平台遭第三方脚本劫持引发大规模资金流失

2026年10月29日，预测市场平台Polymarket遭遇严重安全事件，数百名用户账户在短时间内被未经授权地转移资金。该平台将责任指向一个被入侵的第三方服务提供商，其背后是来自DebugBear的监控脚本被恶意替换。

平台架构与用户资金托管机制详解

Polymarket允许用户对现实世界事件进行押注，其国际版本运行于Polygon区块链之上。所有交易记录公开可查，用户余额由关联的区块链地址管理。尽管浏览器可追踪转账路径，但无法直接识别背后的个人身份。

本次攻击为何不同于传统网络钓鱼行为

此次事件并非通过窃取私钥或诱导用户输入凭证实现。研究人员未在恶意代码中发现用于获取种子短语或登录信息的模块。相反，攻击者复用了用户已建立的合法会话权限，使攻击无需伪造网站即可完成。

监控脚本如何成为攻击入口

Polymarket在其网页中加载了来自英国公司DebugBear的性能监测脚本。该脚本享有与主站同等的信任权限。据称，攻击者通过操控域名注册商修改了DNS设置，使原定请求被重定向至恶意服务器。替换后的文件不再执行性能分析，转而扫描活跃会话并发起转账。

攻击发生时间线与关键节点还原

基于链上数据与站点构建日志，事件时间轴显示：首次异常提款出现在UTC时间17:10；主要盗取浪潮始于17:25；17:59监控脚本被移除；约18:05系统进入仅取消模式，中继器暂停；最后一次提款发生在18:10；约19:00交易功能逐步恢复。

“仅取消模式”允许用户撤回挂单，但禁止新交易。中继器作为代表用户向区块链发送签名交易的服务，在其暂停后有效阻止了进一步资金流出。

被盗资金流向与分账策略分析

链上数据显示，共涉及737个账户，发生985次提款，总额约273万美元。不同追踪工具报告略有差异，范围在250万至270万美元之间。其中，一个硬编码的备用接收地址获得约2860万枚POL代币，价值约264万美元。随后资金被拆分至三个新钱包，以规避追踪。

攻击者还创建新账户，用于兑现从33个账户提取的预测份额。此类分账操作是加密盗窃案中的典型手法。样本分析显示，每次授权均在创建后三至七秒内被执行，表明为高度自动化的程序化操作。

平台应对措施与退款进展

事件发生后，Polymarket立即停止国际交易，移除恶意脚本，清除缓存并重置所有登录状态。独立美国平台未受影响，案件已移交英国执法部门调查。

截至10月30日，约689个受影响钱包（占95%）已获全额返还，总退款金额达390万美元。其中包括270万美元的直接损失及约120万美元因系统停摆造成的间接损失。

未来，平台计划强化对外部脚本的管控，包括实施更严格的CSP规则、固定版本依赖和沙箱隔离机制，以防范类似风险。

现有安全机制为何未能拦截攻击

内容安全策略（CSP）虽能限制外部脚本来源，但因恶意文件源自合法供应商地址，故未触发警报。子资源完整性（SRI）理论上可检测文件指纹偏差，但目前极少应用于监控类脚本。

链上监控也面临挑战：每笔转账均带有真实会话的有效签名，因此在区块链层面表现为合规操作，难以识别为攻击行为。

此类事件是否为首次出现

并非首例。2026年6月，同一类型攻击曾从不足15个账户中盗走约300万美元，当时亦承诺全额退款。

业内专家指出，重复事件反映出供应商安全管理存在结构性缺陷，而非偶然失误。Polymarket尚未披露自6月以来采取的具体改进措施。建议用户加强自身防护，如定期审查并撤销不必要的会话授权。

当前仍存疑点待进一步确认

入侵路径细节：DebugBear称其DNS被注册商篡改，但攻击者具体如何获取权限仍未披露。暴露窗口期：替换文件上线时间未知，实际影响账户数量依赖活动数据估算。最终损失总额：不同统计口径下为710至737个钱包，金额介于250万至273万美元。代码实际行为：研究基于静态分析，无法完全验证每笔转账是否成功执行。

事件总结与行业警示

本次事件揭示了单一供应商信任链可能带来的系统性风险——一个被攻破的第三方脚本足以赋予攻击者对用户账户的完整控制权。智能合约本身未受损，整个过程持续约一小时，且高度自动化。

尽管多数用户已获得退款，但入侵方式、影响范围和确切损失仍存在不确定性。官方技术报告将成为后续关注重点，因其可能为其他加密生态提供共同防御框架参考。