币圈界报道：

Polymarket 平台遭遇重大安全事件：第三方脚本被滥用致资金外流

2026年10月29日，预测市场平台Polymarket遭遇严重安全危机，数百名用户账户在未授权情况下被迅速清空。初步调查显示，损失金额介于250万至273万美元之间，事件根源指向一个被恶意替换的外部监控脚本。

平台运作机制与资金托管方式解析

Polymarket允许用户对现实世界事件进行投注，其国际版本基于Polygon区块链运行。所有交易记录公开可查，资金余额由关联钱包持有，且每笔转账均在链上留下不可篡改的痕迹，为事后追溯提供了数据基础。

异常资金转移背后的攻击逻辑

此次事件并非传统意义上的私钥泄露或钓鱼网站攻击。研究人员发现，攻击者并未窃取用户密码或种子短语，而是通过复用已登录用户的有效会话权限实施操作。由于攻击代码嵌入于官方站点本身，无需伪造页面即可完成控制，显著提升了隐蔽性与成功率。

监控脚本如何成为攻击入口

Polymarket网站加载了来自英国公司DebugBear的性能监测脚本。该脚本因具备与主站同等的信任级别而被广泛部署。调查表明，攻击者通过入侵DebugBear的域名注册信息，篡改其DNS记录，使原本用于性能分析的脚本转向执行恶意任务——主动识别并利用活跃会话进行转账。

事件时间线与关键节点还原

根据链上数据与系统日志重建的时间序列显示：首次未经授权提款发生于UTC时间17:10；主要盗取阶段集中在17:25至18:10；17:59时监控脚本被移除；18:05中继器进入仅取消模式并暂停服务；18:10为最后一次资金提取；约19:00交易功能逐步恢复。值得注意的是，尽管脚本已被清除，资金流失仍持续数分钟，说明中继器状态才是阻止攻击的关键。

被盗资产流向与分账策略分析

链上追踪显示，共有737个账户涉及985次提款，总金额约273万美元。其中，一个硬编码的备用接收地址获取了约2860万枚POL代币（价值约264万美元），随后被拆分至三个新钱包。此外，攻击者还创建新账户以兑现从33个账户中提取的预测份额。样本数据显示，每次授权在创建后三至七秒内即被使用，证实整个过程高度自动化。

平台应对措施与退款进展

事发后，Polymarket立即暂停国际业务，移除恶意脚本，清除缓存并重置所有会话。独立美国平台未受影响，案件已移交英国执法机构。截至10月30日，约689个受影响钱包（占95%）已完成全额退款，总计返还金额达390万美元，涵盖直接损失及系统中断期间的间接损失。

安全防御机制为何失效

内容安全策略（CSP）未能触发警报，因其规则仅限制来源域，而恶意脚本仍来自受信任的供应商地址。子资源完整性（SRI）本可检测文件指纹偏差，但多数网站未启用此功能。同时，每笔转账均携带有效签名，链上行为看似合规，使得常规审计难以识别异常。

类似事件并非首例，暴露供应链风险

2026年6月，同一类攻击曾造成不足15个账户损失约300万美元，当时也承诺退款。专家指出，此类重复发生事件揭示了供应商管理薄弱的根本问题，而非偶然失误。目前，Polymarket尚未披露自6月以来采取的安全改进措施。

尚未明确的关键问题

攻击者获取注册商访问权限的具体路径仍未公开；替换脚本上线的确切时间未知，影响受害人数估算；最终损失总额因统计口径不同存在差异；研究人员在非运行环境下分析代码，无法完全验证每笔交易的实际执行结果。

事件总结与行业警示

本次事件凸显了对第三方脚本过度信任带来的系统性风险。尽管智能合约未被攻破，但攻击在约一小时内完成自动化批量提取，证明信任链条一旦被渗透，便可能转化为对用户资产的全面控制。虽然大部分用户已获补偿，但入侵细节、暴露窗口和最终损失仍待官方技术报告进一步澄清。未来，更严格的外部脚本管控将成为保障加密生态安全的核心议题。