币圈界报道：

Polymarket 平台遭遇供应链攻击：270万美元资产被非法转移

2026年10月29日，预测市场平台Polymarket遭遇严重安全事件，数百名用户账户在未授权情况下被快速清空。初步调查显示，此次攻击源于一个被恶意替换的第三方监控脚本，其背后为英国公司DebugBear的域名记录遭篡改所致。

平台运行机制与资金托管方式

Polymarket允许用户对现实世界事件进行投机性押注，每份合约价值取决于事件结果。其国际版本部署于Polygon公链之上，所有交易均公开可查。用户的余额由关联的区块链地址持有，通过官方浏览器可追踪转账路径，但无法直接识别身份信息。

攻击核心：基于合法会话的权限滥用

不同于传统钓鱼或私钥窃取，本次事件中未发现用于获取密码或种子短语的恶意代码。攻击者并未伪造网站，而是利用用户已在原生页面上完成的身份认证状态，直接调用其有效会话权限发起转账请求，实现无感知的资金提取。

监控脚本如何成为入侵入口

Polymarket网页加载了来自DebugBear的性能监测脚本。该脚本在页面加载时获得与主站相同级别的信任权限。攻击者通过控制其域名注册商，修改了DNS解析记录，使原本指向正常服务器的脚本请求被重定向至恶意服务器。新文件不再执行性能检测，转而扫描活跃会话并触发转账。

事件时间线与关键节点分析

根据链上数据与站点日志重建的时间序列显示：首次异常提款发生在UTC时间17:10；主要盗取浪潮于17:25启动；17:59监控脚本被移除；约18:05系统进入仅取消模式，中继服务暂停；最后一次资金转移发生于18:10；19:00交易功能逐步恢复。

“仅取消模式”允许用户撤回未成交订单，但禁止新交易。中继器作为代理向区块链发送签名交易的中间服务，其暂停是阻止资金流出的关键操作。

被盗资金流向与分赃路径

链上数据显示，共涉及737个账户，累计985笔未经授权的提款，总金额约273万美元。部分追踪器报告损失在250万至270万之间，差异源于统计口径不同。

一名攻击者钱包（脚本中预设接收地址）收到约2860万枚POL代币，市值约264万美元。随后资金被拆分至三个新地址，典型手法用于规避追踪。此外，攻击者还创建新账户，兑现从33个账户中提取的预测份额。

样本分析显示，每次授权指令在创建后三至七秒内即被执行，表明整个过程高度自动化，非人工操作。

平台应对措施与赔偿进展

Polymarket立即暂停国际版交易，移除恶意脚本，清除缓存并强制重置所有用户登录状态。独立运营的美国平台未受影响，案件已移交英国执法机构调查。

截至10月30日，约689个受影响钱包（占总数95%）已完成全额退款。平台承诺返还总额达390万美元，涵盖270万攻击直接损失及120万系统停摆期间的间接损失。

未来将强化对外部脚本的安全管控，包括实施更严格的CSP策略、固定版本依赖和沙箱隔离机制，以防范类似供应链攻击。

为何现有防护机制未能拦截攻击

内容安全策略（CSP）虽能限制脚本来源，但因恶意文件来自受信供应商域名，故未触发警报。子资源完整性（SRI）本可验证文件指纹一致性，但多数网站未启用此功能。

链上层面亦难以识别异常——所有转账均带有有效用户签名，形式上符合授权流程，因此在区块链层面上看似合法。

此类事件是否具有重复性？

并非首例。2026年6月，同一类攻击曾从不足15个账户中盗走约300万美元，当时也承诺了全额退款。

业内专家指出，接连发生的事件暴露出供应商监管体系的普遍薄弱，而非偶然失误。Polymarket尚未披露自6月以来采取的改进措施。建议用户加强自身防护，如定期审查并撤销未使用的授权会话。

尚未明确的关键问题

入侵具体路径：DebugBear称其DNS记录遭注册商破坏，但攻击者获取访问权限的细节仍未披露。暴露窗口期：恶意脚本首次上线时间未知，实际影响范围依赖活动量估算。最终损失总额：不同追踪工具统计差异显著，从710到737个钱包不等，金额区间为250万至273万美元。代码实际行为：研究基于静态分析，无法完全确认每笔转账是否均成功执行。

事件总结与行业警示

本次事件凸显了对第三方脚本过度信任所引发的连锁风险。尽管智能合约本身未被攻破，但攻击者通过短暂劫持可信组件，实现了对用户账户的高效操控。整个过程持续约一小时，具备高度自动化特征。

虽然绝大多数受害者已获赔偿，但攻击路径、暴露窗口与最终损失仍存在不确定性。后续官方技术报告将成为关注焦点，因其可能揭示更广泛的加密生态安全共性——即供应链信任链条一旦失守，后果不堪设想。