币圈界报道：

Polymarket因第三方系统失守致大规模资产外流

作为全球领先的加密货币预测市场，Polymarket在2026年10月29日UTC时间18:05遭遇严重安全中断，被迫暂停所有交易并转入‘仅取消订单’状态。事故根源被确认为一个受控的第三方服务提供商遭恶意代码注入，攻击者借此从用户数字钱包中提取约265万美元的POL代币。

应急机制激活：中继器停摆与新订单封锁

平台随即启动紧急制动程序，冻结了所有新订单提交功能，并停止中继器服务——该服务负责将用户签名后的交易广播至区块链。此举旨在切断攻击者继续执行自动出售行为的路径。官方声明强调当前仍处于调查阶段，未认定为系统性漏洞，但已采取防御性措施以防止损失进一步扩大。

链上追踪揭示资金流向：巨额资产集中于单一地址

区块链分析机构Arkham锁定一个关键地址（0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18），其持有近265万美元的POL代币。该地址通过一系列经由中继器路由的USDC.e兑换操作完成资产积累，随后迅速转移至多个关联钱包。这一轨迹将零散的用户损失报告转化为可量化的财务影响。

社交媒体上多位用户披露真实损失情况：一名名为CarOnPolymarket的交易员称个人损失达80万美元，其朋友亦损失约60万美元。两人合计占被盗总额的53%，表明攻击目标为少数高净值账户，而非广泛扫荡，这也解释了事件爆发速度之快，促使平台立即触发停机机制。

攻击路径溯源：前端脚本植入隐蔽会话劫持逻辑

根本原因并非平台核心合约被攻破，而是上游供应商——DebugBear——提供的监控脚本中嵌入恶意代码。据Hudson Rocks研究团队披露，该脚本具备搜索已登录用户交易会话的能力，并试图自动出售其持仓。更值得注意的是，攻击者指定的钱包地址被硬编码于脚本内部，构成明确的恶意接收端。

此发现与Polymarket自身通报一致。平台承认问题源于“一家第三方服务商遭到入侵”，并已将相关线索移交执法部门。此类供应链攻击难以防范，因其利用的是合法访问权限，攻击行为在外观上与正常交易无异，往往在资产消失后才被察觉。

平台回应转向确定性：承诺全额补偿受害者

在数小时内，Polymarket由“仍在调查”转为发布明确修复方案。公司声明已识别并修补漏洞，归因于第三方失败，并重申：“所有受影响用户将获得全额赔偿。” 这一表态标志着平台主动承担全部责任，而非推诿至外部环节。

此前，该公司曾在七月向执法机构移交涉及2亿美元可疑活动的近100个钱包信息，但此次移交直接关联盗窃行为，凸显事件性质的严重性。全额赔付承诺成为事件后续处理的关键锚点，极大缓解用户恐慌情绪。

周期性风险浮现：五个月内三起第三方攻击事件

这不是首次发生类似事件。今年6月，一次供应商漏洞导致约300万美元被盗；5月也曾有内部钱包遭窃，损失约70万美元。10月29日事件是五个月内第三起由第三方接入问题引发的安全事故。

累计损失已达约635万美元，且均指向同一根源——前端供应商管理松懈。这不仅暴露了技术审查盲区，也迫使业界重新评估对第三方依赖的容忍度。若不能建立严格的准入审计机制，此类事件将持续威胁整个生态系统的可信度。

对预测市场信任体系的深层冲击

2026年，预测市场正加速迈向主流金融体系，如Polymarket推出20倍杠杆永续合约，美国监管机构亦在探索本土化路径。然而，本次因前端脚本被劫持而导致钱包资产瞬间蒸发的事件，严重动摇用户信心。

尽管平台响应迅速并承诺赔偿，但其背后反映出的脆弱性不可忽视：用户的资产安全高度依赖于最不透明、最易被渗透的前端环节。在缺乏透明治理和强制审计机制的前提下，任何一次第三方失守都可能演变为系统性危机。目前平台仍未公布具体受害人数、供应商被入侵细节或恢复时间表，用户需保持警惕，认清风险本质——预测市场价值，取决于其最薄弱的连接点。