预测市场平台Polymarket 10月29日遭遇黑客攻击，攻击者劫持了第三方网站性能监控服务商DebugBear的脚本，在约50分钟内从700多个用户账户中盗走约265万美元的加密货币。Polymarket当天暂停国际平台交易约一小时，修复问题后已恢复交易，并承诺全额赔付受影响用户。这是该平台2026年内第三次发生资金被盗事件。
事件经过
据安全研究机构Ohey Research的技术分析，攻击者将DebugBear提供给Polymarket网站的监控脚本替换成了一个15KB的钱包盗取程序。正常的监控脚本约60KB，10月29日当天被替换后完全不再执行监控功能。Polymarket随后发布的新版本中已移除该脚本。
这个恶意脚本专门针对Polymarket编写。它会读取浏览器中Polymarket的三个本地存储密钥，确认用户已登录后，便在页面中找到Polymarket自己的交易客户端并加以控制。用邮箱登录的账户会被程序以市价97%、50%再到最低档的价格分批抛售持仓；用外部加密钱包登录的账户则会被一次性转走头寸。账户内的现金余额会被换成Polygon网络的POL代币，再经由Polymarket自己的免 gas 中继服务转走，整个过程看起来与正常交易无异。
时间线上，攻击者的钱包在美东时间10月29日下午1点10分收到第一笔赃款。下午2点05分，Polymarket将国际平台切换为“仅可撤单”模式，停止新交易；2点37分，公司在社交媒体上承认“一家第三方服务商被入侵”，并表示已报警；下午3点左右恢复正常交易。区块链分析公司Arkham确认，攻击者钱包在52分钟内收到2860万枚POL，按当时价格约值260万美元。另一家分析公司Bubblemaps估计损失约270万美元，涉及700多名用户。
DebugBear是一家英国网站性能监测公司，其官网10月29日承认“正受到一起持续中的安全事件影响”，并要求使用其监控产品的客户移除嵌入代码。Polymarket尚未公开点名这家服务商。
网络安全媒体Report URI还原了更完整的技术细节。Polymarket把DebugBear的实时用户监控代码以内联脚本形式直接写在服务端渲染的HTML里，加载器指向cdn.debugbear.com上的一个脚本文件。正常情况下这个文件约60KB，10月29日当天被替换成了15KB的恶意代码。Polymarket在协调世界时17点59分发布新版本，提交信息为“移除debugbear监控脚本”。
恶意脚本的针对性极强。它会读取浏览器中Polymarket的三个本地存储密钥，确认用户登录后，便在页面的React组件树中找到Polymarket自己的下单客户端并加以控制。用邮箱登录的账户会被以“fill-and-kill”卖单分批抛售，先按市价的97%，再按50%，最后按最低档；用自托管钱包登录的账户则会被一次性批量转走头寸。脚本甚至会把受害者的持仓、IP地址、国家和操作系统信息回传到数据收集域名，而这个域名恰好是正常产品也会通信的域名，极具迷惑性。
各方反应
Polymarket在官方状态账号上表示，已识别并修复影响国际平台的问题，“已将此事移交相关执法部门”，“所有受影响的用户都将得到全额补偿”，但未说明具体的赔付方式和时间表。据美国消费者新闻与商业频道报道，Polymarket在Discord上告知用户，损失低于1万美元的用户将在10月30日前恢复资金。
安全研究界迅速跟进。Hudson Rock的研究人员发现了托管在DebugBear基础设施上的被篡改脚本，BleepingComputer的分析显示，该代码会先检查用户的加密余额和未平仓头寸，再决定抛售或转移。网络安全媒体Report URI还原了完整攻击链，指出Polymarket的内容安全策略允许了DebugBear的脚本域名，这正是攻击得以实施的关键。
值得注意的是，此次事件只影响Polymarket的国际加密平台Polymarket.com，其在美国持牌运营的Polymarket US是独立系统，不受影响。个别交易者报告的损失远高于平均水平，一名用户称自己损失约80万美元，另有一名朋友损失约60万美元，但这些数字尚未得到独立证实。
赔付方案的细节正在陆续披露。据美国消费者新闻与商业频道报道，Polymarket在Discord上告知用户，损失低于1万美元的用户将在10月30日前恢复资金。而据Casino.org报道，损失超过1万美元的用户在获得赔付前需要签署一份免责协议。Polymarket官方声明中只说“所有受影响的用户都将得到全额补偿”，没有说明赔付的时间表和资金来源。
Polymarket的声明还有一个值得注意的限定：声明只覆盖其国际平台，没有提及美国持牌交易所。这意味着美国用户的资金由独立系统保护，但也引发疑问——如果攻击者针对的是网站前端代码，两个平台的前端是否存在共享组件，官方尚未解释。
背景影响
这是Polymarket在2026年遭遇的第三起资金安全事件：5月，一起私钥泄露导致内部充值钱包约70万美元被盗；6月，另一起通过被入侵供应商的事件从不到15个账户中盗走约300万美元。三次事件的共同点都是“第三方”环节出问题，而非Polymarket自身的智能合约被攻破。
此次攻击的精妙之处在于“借刀杀人”：攻击者没有破解任何加密算法，而是劫持了网站加载的合法监控脚本，利用用户自己的浏览器会话和Polymarket自己的交易工具完成盗窃。这种供应链攻击模式对所有依赖第三方脚本的网站都是警示。
对用户而言，事件再次凸显了浏览器钱包授权的风险。据报道，损失超过1万美元的用户在获得赔付前需要签署一份免责协议，相关条款细节尚未公开。Polymarket能否按承诺完成赔付，将直接影响用户对其资金安全的信心。
从技术防御角度看，这次事件暴露了一个普遍问题：Polymarket部署了相当长的内容安全策略，但策略中允许了DebugBear的脚本域名——这是监控产品正常工作所必需的。攻击者正是利用了这种“合法通道”，把恶意代码送进了所有访问者的浏览器。Report URI的分析指出，只要第三方脚本被攻破，再严格的内容安全策略也形同虚设。
对预测市场行业而言，连续三起安全事件可能动摇用户信任。Polymarket是全球最大的预测市场平台，其国际平台处理的资金规模巨大。如果赔付承诺不能迅速兑现，或执法部门的调查揭示出更严重的管理疏失，平台可能面临用户流失和监管压力的双重打击。目前交易已恢复正常，但事件的余波远未结束。
链上数据的追踪仍在继续。BleepingComputer的分析追踪到，约257万美元的POL代币从疑似攻击者钱包转移到了另外三个地址，显示赃款正在被分散。区块链分析公司Arkham最早识别出攻击者钱包，Bubblemaps则给出了“700多名用户、约270万美元”的损失估计。Polymarket官方至今没有确认受害者人数和被盗总额，只说“问题已修复”。
网络安全公司Hudson Rock的研究人员是最早发现被篡改脚本的团队之一。他们在DebugBear的基础设施上找到了被修改过的监控文件，确认攻击者替换了原本的性能监测代码。DebugBear随后承认“正受到一起持续中的安全事件影响”，并要求所有使用其监控产品的客户移除嵌入代码——这意味着受影响的可能不止Polymarket一家，只是攻击代码专门针对Polymarket编写。
对普通用户来说，这次事件的教训很具体：浏览器里长期保持登录的交易账户，在第三方脚本被劫持时几乎不设防。用邮箱登录的Polymarket账户因为“无感签名”机制，连确认环节都被跳过。安全专家建议，对大额资金账户尽量使用硬件钱包并及时登出，同时警惕任何异常的签名请求——只是在这次攻击中，很多盗窃根本不需要用户签名。
Polymarket承诺的“全额赔付”能否兑现，将是检验其信用的关键一役。按目前披露的安排，小额损失用户有望在10月30日前拿回资金，大额损失用户则需要签署免责协议。如果赔付拖延或打折，这家全球最大的预测市场平台的用户信任将遭受重创，而竞争对手正虎视眈眈。
权威一手来源
- Polymarket官方状态账号10月29日声明：确认第三方服务商被入侵，已报警并承诺全额赔付
- Ohey Research技术分析：还原15KB钱包盗取脚本的工作原理与攻击时间线
- 区块链分析公司Arkham：确认攻击者钱包52分钟内收到2860万枚POL，约值260万美元
- 区块链分析公司Bubblemaps：估计损失约270万美元，涉及700多名用户
- DebugBear官方声明：承认受到持续中的安全事件影响，要求客户移除监控代码
- CoinMarketCap 10月30日报道：Polymarket已恢复交易，事件仅涉及国际平台
核验日期：2026-10-30
免责声明
本文基于Polymarket官方声明及多家安全研究机构、媒体的公开报道编译，损失金额为第三方机构估计值，Polymarket官方尚未确认具体数字，请以官方渠道的最新信息为准。
想第一时间了解美国大事与实用资讯，欢迎关注美国通官方微信号：UUUMGT。
评论前必须登录！
注册