币圈界报道：

Polymarket 平台遭遇大规模账户资金异常转移事件

2026年10月29日，预测市场平台Polymarket遭遇严重安全事件，数百名用户的交易账户在未授权情况下被快速清空。此次攻击源于一个嵌入其网页的外部监控脚本被恶意替换，攻击者通过篡改域名解析记录实现代码劫持，从而获取活跃会话的转账权限。

平台运作机制与资金托管方式解析

Polymarket允许用户对真实世界事件进行投注，其资产以份额形式存储于Polygon区块链上的独立钱包中。所有交易均公开可查，借助链上浏览器可追溯每一笔资金流向。该架构虽提升透明度，但也为攻击者提供了可追踪的路径。

本次事件的本质：会话劫持而非传统盗密

不同于常见的私钥泄露或钓鱼网站攻击，本次事件的核心在于攻击者并未窃取用户密码或种子短语，而是利用已登录状态下的合法访问权限发起转账。由于脚本由官方站点加载，系统默认其为可信来源，因此未触发常规安全警报。

攻击路径溯源：从页面监控到资金转移

攻击者通过入侵DebugBear的DNS配置，将原本用于性能监测的脚本重定向至恶意服务器。替换后的脚本不再执行原本功能，转而扫描并提取当前活跃的Polymarket会话信息，进而生成伪造的转账请求。

事件时间线还原：一小时内完成大规模资金抽离

根据链上数据重建，首次未经授权提款出现在UTC时间17:10，主要盗取阶段自17:25开始，至17:59监控脚本被移除。尽管脚本下线，但资金流出持续至18:10，表明中继服务暂停才是阻止损失的关键因素。此后交易逐步恢复。

被盗资金去向分析：多层拆分与代币变现

链上数据显示，共计737个账户发生985次提款，总金额约为273万美元。其中一名攻击者地址接收了约2860万枚POL代币，价值约264万美元，并迅速拆分至三个新钱包。另有部分资金用于兑换来自33个账户的预测份额，典型表现为典型的洗钱流程。

平台应对措施与赔偿进展

Polymarket立即停止国际版服务，移除恶意脚本，清除缓存并强制重置用户登录状态。美国独立平台未受影响，案件已移交英国执法机构调查。截至10月30日，约95%的受波及账户已获全额返还，总额达390万美元，涵盖直接损失及运营中断造成的间接影响。

为何现有安全机制未能拦截攻击？

内容安全策略（CSP）无法识别来自合法供应商的恶意文件，因为其源地址未改变。子资源完整性（SRI）本可检测内容差异，但多数网站未启用该功能。此外，每笔交易均携带有效签名，使得链上行为看似合规，难以判定为异常。

此类事件是否曾有先例？

并非首例。2026年6月，类似攻击已造成超300万美元损失，当时同样承诺退款。业内认为，重复发生反映出对第三方依赖的普遍性缺陷，而非偶然事故。平台在上一次事件后未披露具体改进措施，引发用户对长期安全能力的质疑。

尚未明确的疑点与待解问题

攻击者如何取得对DebugBear DNS的控制权仍未公开；恶意脚本首次上线的时间未知，导致实际受害人数存在估算误差；最终损失金额因不同追踪工具而异，范围介于250万至273万美元之间；研究人员仅能基于静态代码分析推断意图，无法确认每笔操作均成功执行。

事件总结：信任链条断裂的警示信号

本事件揭示了对第三方服务过度信任可能带来的系统性风险。尽管智能合约本身未被攻破，但攻击者通过劫持一个看似无害的监控组件，实现了对用户账户的完全控制。整个过程高度自动化，持续约一小时，体现了现代网络攻击的隐蔽性与高效性。虽然大部分损失已通过退款弥补，但核心漏洞仍需进一步技术审查与制度防范。