币圈界报道：

Polymarket 平台遭遇第三方脚本入侵，引发大规模资金流失

2026年10月29日，预测市场平台Polymarket遭遇重大安全危机，数百名用户账户在未授权情况下被快速清空。事件根源被确认为来自第三方服务提供商DebugBear的监控脚本遭恶意替换，攻击者利用合法访问权限实现批量转账。

平台运行机制与资金托管方式解析

Polymarket允许用户对真实世界事件进行押注，其国际版基于Polygon区块链运行。所有交易记录公开可查，用户余额由关联钱包管理，每笔操作均在链上留下不可篡改痕迹，便于事后追踪。

攻击手段突破传统防御边界

此次事件并非典型网络钓鱼或私钥泄露所致。研究人员发现，攻击者并未窃取密码或种子短语，而是复用了已登录用户的活跃会话权限。由于恶意代码嵌入于官方网站本身，无需伪造页面即可实施攻击，显著提升了隐蔽性与成功率。

监控脚本如何成为攻击入口

Polymarket网站加载了来自英国公司DebugBear的性能监控脚本。该脚本在每个页面中运行，享有与主站代码同等的信任级别。攻击者通过篡改DebugBear的DNS记录，将原本用于性能分析的脚本重定向至恶意服务器。新文件不再监测加载速度，转而扫描并劫持活跃的Polymarket会话。

事件时间线还原：从首次提款到资金冻结

根据链上数据重建的攻击流程显示：17:10首次出现未经授权的提款；17:25进入集中盗取阶段；17:59监控脚本被移除；约18:05系统启动仅取消模式，中继器暂停；18:10完成最后一次盗取；19:00交易功能逐步恢复。尽管脚本已被清除，但资金流出持续至中继器关闭才停止，表明控制权依赖于服务状态而非脚本存在。

被盗资产流向与拆分路径分析

链上数据显示，共有737个账户发生985次异常提款，总金额约273万美元。其中，一个硬编码的备用接收地址获得约2860万枚POL代币（价值约264万美元）。随后资金被迅速拆分至三个新钱包，符合加密货币洗钱常见模式。此外，攻击者还创建新账户以兑现从33个账户中提取的预测份额。样本分析显示，每次授权在创建后三至七秒内即被使用，证实为高度自动化的攻击行为。

平台响应措施与退款进展

事件发生后，Polymarket立即暂停国际业务，移除恶意脚本，清除缓存并强制重置所有用户登录会话。独立美国平台未受影响，案件已移交英国执法机构调查。截至10月30日，约95%的受影响用户（689/726）已获全额退款，总计返还金额达390万美元，涵盖直接损失及暂停期间的间接损失。

安全防线为何失效？技术盲区揭示

内容安全策略（CSP）未能触发警报，因其规则允许来自已批准供应商的脚本加载。子资源完整性（SRI）本可识别文件指纹不匹配，但实际应用率极低。链上记录显示所有交易均带有有效签名，因此在区块链层面无法识别异常，使攻击行为看似合规。

历史相似事件频发，暴露供应链风险

这不是首例此类攻击。2026年6月，同一类脚本劫持曾导致不到15个账户损失约300万美元，当时也承诺退款。专家指出，重复事件反映的是供应商监管体系的结构性缺陷，而非偶然失误。目前尚无证据表明Polymarket在6月事件后采取了实质性改进措施。

尚未明确的关键问题

攻击者获取域名控制权的具体途径仍未披露；恶意脚本首次上线的时间点未知，影响受害人数估算；最终损失总额在不同追踪工具间存在差异（250万至273万美元）；研究基于静态代码分析，无法完全验证每笔转账的实际执行效果。

事件核心启示与未来展望

本次事件凸显了对第三方服务过度信任带来的系统性风险。智能合约未受损，整个过程是一次持续约一小时的高速自动化攻击。虽然多数用户已获补偿，但入侵路径、暴露窗口和确切损失仍存疑。后续官方技术报告将成为评估行业安全标准演进的关键参考。