币圈界报道：

Polymarket 平台遭遇大规模账户资金异常转移

2026年10月29日，预测市场平台Polymarket遭遇严重安全事件，数百名用户账户在不到一小时内出现未经授权的资金提取。该平台将责任归于其依赖的第三方服务提供商——DebugBear的基础设施被恶意篡改。

平台运作机制与资金托管逻辑解析

Polymarket允许用户就选举结果、体育赛事及宏观经济指标进行投注，其交易余额由Polygon区块链上的智能合约管理。所有转账行为均在公共链上可查，为事件追溯提供了坚实的数据基础。初步估算，总损失金额介于250万至273万美元之间。

攻击路径突破：合法访问权限的非法复用

此次事件并非传统意义上的密码泄露或钓鱼网站诱导，而是通过已登录状态下的合法会话权限实现自动化盗取。研究人员未发现用于窃取私钥或种子短语的恶意代码，表明攻击者利用的是平台自身信任体系中的漏洞。

监控脚本如何成为入侵跳板

Polymarket在其网页中加载了来自英国公司DebugBear的性能监测脚本。该脚本以高权限运行，享有与主站代码同等的信任级别。调查发现，攻击者通过操控DebugBear的域名系统（DNS）记录，将原本指向正常服务器的请求重定向至恶意节点。替换后的脚本不再执行性能检测，转而扫描活跃用户会话并发起转账授权。

事件时间轴：从触发到遏制的全过程

根据公开链上数据重建的时间线显示：首次异常提款出现在UTC时间17:10；17:25起进入集中盗取阶段；17:59时监控脚本被移除；18:05中继器服务暂停，仅保留取消挂单功能；18:10完成最后一次资金转移；约19:00后交易逐步恢复。

被盗资金流向与分赃模式分析

链上追踪确认共涉及737个钱包，发生985次提款，总额约273万美元。其中，一个硬编码的攻击者地址接收了约2860万枚POL代币，价值约264万美元。随后资金被拆分至三个新地址，符合典型洗钱流程。另有部分资金用于兑现从33个账户中提取的预测份额。

平台应对措施与赔偿进展

事发后，Polymarket立即暂停国际版服务，清除缓存，重置所有登录会话，并移除受影响脚本。美国独立平台未受波及，案件已移交英国执法部门。截至10月30日，约95%的受损用户（689/726）获得全额退款，总计返还金额达390万美元，涵盖直接损失与服务中断造成的间接损失。

现有安全机制为何失效

内容安全策略（CSP）未能预警，因其限制范围基于源地址而非内容实际行为；子资源完整性（SRI）虽可识别文件变更，但极少应用于此类工具脚本。此外，每笔转账均携带有效签名，使链上记录看似合规，难以从区块链层面判断是否为授权操作。

历史先例：同类事件并非首现

2026年6月，类似攻击曾导致不足15个账户损失超300万美元，且平台亦承诺退款。这表明问题根源在于供应商生态监管薄弱，而非偶发事故。目前，Polymarket尚未披露自6月以来采取的安全升级措施。

待解疑点：关键信息仍不完整

攻击者获取域名控制权的具体方式尚未披露；恶意脚本首次上线时间未知，影响对受害人数的精确评估；最终损失总额存在统计差异，取决于追踪方与时间窗口；研究基于静态分析，无法完全验证所有转账是否成功执行。

事件本质：信任链条的致命脆弱性

本次事件揭示了现代数字平台对第三方服务的高度依赖所带来的系统性风险。尽管智能合约本身未被攻破，但攻击者通过劫持一个被信任的监控脚本，实现了对用户账户的批量控制。整个过程持续约一小时，高度自动化，凸显了供应链攻击的隐蔽性与破坏力。虽然多数受害者已获补偿，但未来如何强化外部脚本管控，仍是行业亟需回应的核心议题。