币圈界报道：

Polymarket 钱包遭恶意脚本入侵：链上资产被批量转移

2026 年 10 月 29 日，预测市场平台 Polymarket 突发大规模资金异常流出事件。在约一小时内，数百名用户的交易账户在未获授权的情况下被清空，损失金额初步估算介于 250 万至 273 万美元之间。该平台将责任归因于其依赖的第三方服务提供商——DebugBear 的系统遭外部破坏。

平台运作机制与资金托管逻辑

Polymarket 允许用户对现实世界事件（如选举结果、体育赛事）进行投注，每份合约的价值取决于事件最终状态。其国际版基于 Polygon 区块链运行，所有交易记录均公开可查。用户的余额由关联的 Polygon 钱包持有，而区块链浏览器可追踪地址变动，但无法显示真实身份信息。

账户权限滥用揭示新型攻击路径

此次事件并非传统意义上的私钥泄露或钓鱼网站诱导，而是通过已登录会话的合法访问权实施快速清空。研究人员未发现用于窃取种子短语或密码的恶意代码，表明攻击者直接利用了平台自身存在的信任机制。由于攻击载荷嵌入于官方网页脚本中，无需伪造仿冒站点即可完成渗透。

监控脚本如何成为攻击入口

Polymarket 网站加载了一个来自英国公司 DebugBear 的性能监测脚本。此类脚本在页面加载时自动执行，并享有与主站代码同等的信任等级。据调查，攻击者通过操控其域名系统的 DNS 记录，将原本指向合法服务器的请求重定向至恶意节点。替换后的文件不再检测页面性能，转而扫描活跃会话并提取转账权限。

事件时间线还原：从入侵到控制终止

基于公开的 Polygon 链上数据与部署日志，事件发展如下：17:10 出现首笔未经授权提款；17:25 主要盗取阶段启动；17:59 监控脚本被移除；约 18:05 系统进入“仅取消模式”，中继服务暂停；18:10 完成最后一次资金提取；约 19:00 交易功能逐步恢复。值得注意的是，尽管脚本已被清除，资金流失仍在持续，直到中继器被强制关闭才真正停止。

被盗资金流向与分账策略分析

链上数据显示，共计 737 个账户发生 985 次异常提款，总额约 273 万美元。部分追踪工具统计为 710 个钱包，损失区间为 250 万至 270 万美元。其中，一个预设接收地址获取了约 2860 万个 POL 代币（价值约 264 万美元），随后被拆分至三个新地址。此外，攻击者还创建新账户兑现了来自 33 个账户的预测份额。样本分析显示，每次授权生成后三至七秒内即被执行，高度符合自动化程序特征。

平台应对措施与赔偿进展

事发后，Polymarket 立即暂停国际版服务，移除恶意脚本，清除缓存并重置所有登录会话。独立运营的美国平台未受影响，案件已移交英国执法机构。截至 10 月 30 日，约 689 个受影响钱包（占总数 95%）已获得全额退款。平台承诺总计返还 390 万美元，涵盖 270 万攻击损失及 120 万服务中断期间的间接损失。未来计划强化对外部脚本的管控，包括实施更严格的 CSP 规则、固定版本引用与沙箱隔离。

为何现有防御体系未能拦截本次攻击？

内容安全策略（CSP）虽能限制外部资源加载，但因恶意脚本源自受信供应商域名，故未触发警报。子资源完整性（SRI）本可识别文件指纹不符，但目前极少网站在第三方工具中启用此功能。同时，每笔转账均携带有效签名，使链上行为看似合规，难以通过区块链监控识别异常。

类似事件是否曾发生？历史模式揭示深层隐患

并非首次。2026 年 6 月，同一类攻击曾在其他平台造成逾 300 万美元损失，当时也承诺全额返还。专家指出，反复发生的事件反映的是供应链安全管理薄弱，而非偶然失误。Polymarket 尚未披露自 6 月以来采取的具体改进措施。用户可通过定期审查会话授权、及时撤销闲置权限来降低风险。

当前尚未明确的关键问题

攻击者获取域名控制权的具体方式仍未披露；替换脚本首次上线的时间未知，影响对受害范围的精确评估；最终损失总额因统计口径不同存在差异；研究基于静态分析，无法完全验证所有转账是否成功执行。

事件本质与行业警示

本次事件暴露了平台对第三方脚本过度依赖所带来的系统性风险。尽管智能合约本身未被攻破，但攻击者通过合法权限复用实现了高速自动化资金转移。虽然多数受害者已获补偿，但入侵细节、暴露窗口与总损失仍存疑点。后续官方技术报告将成为评估整个加密生态信任链安全性的关键参考。