Polymarket 遭供应链攻击：第三方脚本被篡改，约 270 万美元被盗
Polymarket 于 10 月 29 日暂停交易，第三方监控脚本中的恶意代码从约 700 个用户账户中盗走约 270 万美元，平台承诺全额赔付受影响用户。
SECURITY & HACKSNEWS
Lukas Brenner
10/30/20261 分钟阅读
预测市场 Polymarket 于 10 月 29 日短暂暂停其国际平台交易。攻击者利用一段被篡改的第三方脚本，从用户账户中盗走约 270 万美元。据区块链数据服务商 Bitquery 统计，未经授权的提款约为 273 万美元，涉及 737 个账户；其他研究人员统计的受影响钱包约为 700 个。
根据 Bitquery 的时间线，异常提款发生在 UTC 时间约 17:10 至 18:10 之间。约 18:05，Polymarket 将国际交易所切换为“仅可撤单”模式并暂停中继服务，随后表示已发现并修复问题，约 19:05 恢复交易。Bitquery 称，在修复公告发布后仍出现了一笔未经授权的提款。
问题出在供应商，而非合约
恶意代码并非通过智能合约进入，而是借由嵌入网站前端的监控工具注入。研究人员将其与网站性能监控公司 DebugBear 联系起来，该公司另行披露了安全事件，并建议客户移除其真实用户监控（RUM）脚本。Hudson Rock 发现了这段代码；据 BleepingComputer 报道，它会劫持已登录会话、查询余额，并尝试卖出持仓或将资产转入攻击者钱包。
Polymarket 在声明中仅提到某第三方服务商遭到入侵。公司表示将全额补偿受影响用户，并已将案件移交英国执法部门，但尚未公布赔付时间表、最终损失数字或完整事故报告。据报道，其独立运营的美国受监管交易所未受影响。
Bitquery 追踪发现，被盗资金被兑换为 POL 并分散至多个新地址，部分资金通过跨链桥转移至以太坊。分析机构将约 265 万美元关联至一个疑似攻击者钱包。
这是该平台今年第二次因第三方问题遭受损失，此前 6 月的一起事件据报道造成用户约 300 万美元损失。此次事件恰逢币安创纪录被盗的同一周，也表明即使链上代码安全，网页前端和外部脚本依然可能成为薄弱环节。
来源: Bitquery、The Block、BleepingComputer、Altcoin Buzz、Gate News