币圈界报道：

Predict.fun平台遭恶意清空：19个钱包损失超26万美元

近期，预测市场项目Predict.fun遭遇严重安全疑云，至少19个与该平台相关的以太坊钱包被批量清空，总计约105 ETH（约合26万美元）资产被转移。链上追踪显示，这些资金通过多个中间地址流转后，最终进入知名加密货币混币服务Tornado Cash，试图掩盖交易路径。

多起账户异常引发初步警报

事件最初由一位X平台用户dethective披露，其在短时间内发现钱包内约5,000美元被转走，并指出其他使用Predict.fun的用户可能也遭遇了类似未经授权的资金提取行为。该用户随后提供了一个接收被盗资金的钱包地址，以及相关交易截图，其中包含标记为“Kernel”的地址向其转账约4,845 USDT的记录，同时附带若干与Predict.fun合约相关的早期转账痕迹。

链上追踪揭示资金聚合路径

链上分析员Naeven于10月27日发布调查报告，确认存在至少19名受害者，总损失达105 ETH。尽管已锁定部分受害地址，但实际影响范围可能更大。数据显示，被盗资金经由多个跨链中继地址转移，最终集中汇入被称为“drainers”（盗取工具）的特定地址群组。这些地址通常用于自动化执行资产掠夺操作。

攻击源头尚待查明，权限风险成焦点

目前尚未明确此次事件是否源于智能合约漏洞、恶意签名授权，或用户端权限泄露。调查人员特别关注是否存在用户曾授予某第三方无限访问权限的情况，此类操作一旦被滥用，将导致资产瞬间被清空。此外，尚无法确认所有受影响钱包是否与同一受损合约发生过交互。

混币器成为攻击者惯用工具

Tornado Cash在近期多起重大安全事件中频繁出现。本月早些时候，Drift Protocol漏洞事件中，攻击者将约1.09亿美元的ETH转入该混币器，另有逾1.38亿美元仍处于攻击者控制之下。另一起Triple-A金库入侵案中，约1,240万美元加密资产被转入此服务，涉及4,970 ETH。此前还有案例显示，攻击者通过获取无限消费许可，在单笔交易中完成授权与提款，资金按比例分发至两个恶意地址，结构高度相似。

在Predict.fun案件中，尽管尚未证实授权机制是主因，但其与历史攻击模式高度吻合，提示平台及用户需警惕潜在权限滥用风险。