Polymarket 在黑客攻击导致 737 个账户共计 270 万美元资金被盗后恢复交易

Polymarket 在 2026 年 10 月 29 日发生安全漏洞后恢复交易。此次事件导致其国际平台数百名用户估计损失 270 万美元。一家 Polymarket 第三方服务提供商遭到入侵，攻击者得以干扰用户交易。公司于 18:05 UTC 暂停交易，随后发现并修复问题，并于约一小时后的 19:05 UTC 恢复交易，同时将事件报告给英国执法部门。

区块链情报公司 Bitquery 发现，在一小时内，737 个账户遭遇未经授权的出金，金额约为 273 万美元。其他调查人员估计损失在 250 万至 270 万美元之间。Polymarket 承诺全额赔偿受影响客户，但尚未公布最终损失金额、确认受影响用户数量或发布赔偿时间表。

受感染的监控脚本导致未经授权的交易

事件始于 10 月 29 日，当时用户报告称，加密货币余额和预测市场持仓在未经授权的情况下被划转或清算。18:05 UTC，Polymarket 将其国际平台切换为仅撤单模式，禁止新订单和交易，同时允许撤销现有订单。平台还暂停了中继器服务，以调查可疑活动。至 18:37 UTC，Polymarket 宣布已发现并修复漏洞。交易于约 19:05 UTC 恢复。

安全研究人员将此次入侵与网站性能监控公司 DebugBear 联系起来，该公司的 JavaScript 工具被嵌入 Polymarket 网站。DebugBear 另行承认发生安全事件，并建议客户移除其真实用户监控脚本。Hudson Rock 的研究人员发现，通过该服务提供商基础设施分发的恶意 JavaScript。据 BleepingComputer 的技术分析，该脚本针对已通过身份验证的 Polymarket 会话，检查账户余额并试图执行未经授权的交易。

根据用户的身份验证设置，恶意代码可能会卖出预测市场持仓，或将资产转移至攻击者控制的钱包。此次攻击利用了现有交易功能，而非已确认的 Polymarket 底层智能合约漏洞。公司尚未发布完整的技术事后分析，说明第三方基础设施最初是如何遭到入侵的。

区块链调查人员追踪 737 个账户中被盗的 273 万美元

Bitquery 的调查发现，10 月 29 日 17:10 至 18:10 UTC 期间发生了未经授权的出金。该公司估计，737 个账户损失约 273 万美元，其中包括通过 Polymarket 现有钱包基础设施转移的资金和持仓。分析发现，被盗资产被兑换为 POL 代币，并分散至更多地址。部分资金随后通过跨链桥接服务转往以太坊。《The Block》引用的另一项分析发现，约 265 万美元与一个疑似攻击者钱包有关。

这些不同的估算反映了对区块链的不同观察结果，不应视为额外损失。Bitquery 还报告称，在 Polymarket 宣布已发现并修复问题后，又发生了一笔未经授权的出金，这引发了对遏制攻击时间的疑问。不过，公司于 19:05 UTC 将事件标记为已解决，此后没有已确认的大范围入侵事件。

此次攻击之前，2026 年 6 月还发生过另一起第三方安全事件，据称导致用户损失约 300 万美元。这些事件共同凸显了集成到加密货币交易界面的外部软件所带来的风险。即使智能合约仍然安全，遭入侵的浏览器脚本也可能利用已通过身份验证的会话和现有交易权限。未有报告称 Polymarket 独立运营的美国受监管交易所受到影响。

常见问题

2026 年 10 月 29 日 Polymarket 安全漏洞期间发生了什么？

2026 年 10 月 29 日，Polymarket 遭遇安全漏洞，其一家第三方服务提供商遭到入侵。攻击者干扰了用户交易，导致数百个账户估计被盗 270 万美元。公司于 18:05 UTC 暂停交易，在 18:37 UTC 前发现并修复漏洞，并于约 19:05 UTC 恢复交易。

Polymarket 黑客攻击影响了多少个账户？

区块链情报公司 Bitquery 发现，10 月 29 日 17:10 至 18:10 UTC 的一小时内，约有 737 个账户遭遇未经授权的出金。Polymarket 尚未确认最终受影响的用户数量。

攻击者是如何入侵 Polymarket 用户账户的？

安全研究人员将此次入侵与网站性能监控公司 DebugBear 联系起来，该公司的 JavaScript 工具被嵌入 Polymarket 网站。通过该服务提供商基础设施分发的恶意 JavaScript 针对已通过身份验证的 Polymarket 会话，检查账户余额并执行未经授权的交易，包括卖出预测市场持仓或将资产转移至攻击者控制的钱包。