Polymarket因第三方漏洞致265万美元被盗，平台承诺全额赔偿

作为全球领先的加密货币预测市场，Polymarket在2026年10月29日UTC时间18:05遭遇严重安全故障，被迫进入“仅取消订单”模式。此次事故源于一个受侵害的第三方服务提供商，攻击者通过恶意脚本窃取用户钱包中的资产，总损失约为265万美元。该事件被记录于平台状态页面，归类为影响“预测交易API”的重大系统中断。

紧急响应：冻结交易与中继器操作

为防止损失进一步扩大，Polymarket立即采取防御性措施，暂停所有新订单提交，并关闭了负责向区块链广播签名交易的中继器服务。这一机制相当于将交易系统置于“紧急制动”状态，用户仅可撤回现有挂单，无法发起新交易。平台在社交媒体上声明：“我们仍在调查中，交易所处于仅取消订单模式。”此举切断了攻击者继续出售头寸的路径，表明事件具有明确的外部攻击特征。

链上追踪：资金集中于单一地址

区块链分析公司Arkham识别出一个关键地址——0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18——其持有约265万美元的POL代币。该地址通过一系列经由Relay路由的USDC.e至POL兑换完成资产积累，随后分批转移至其他钱包。这一轨迹将零散的用户报告转化为可量化的损失数据。

多位用户在社交平台上发声，揭示事件的人性代价。一名名为CarOnPolymarket的交易员表示：“我刚刚损失了80万美元。”其朋友亦损失约60万美元，并呼吁所有用户立即锁定账户。两位最大公开受害者合计损失140万美元，占追踪到资金的53%，表明攻击目标为少数高余额账户，而非广泛扫荡，这解释了为何事件能在短时间内触发紧急停机。

根源溯源：第三方供应链漏洞

调查确认，问题并非来自Polymarket核心合约，而是上游第三方服务被植入恶意代码。据Hudson Rocks披露，DebugBear（Web性能监控工具）加载的脚本具备读取用户会话的能力，并尝试自动出售其持仓，同时将资金转入预设接收地址。该地址在代码中被硬编码，形成明确的攻击路径。

Polymarket官方回应称，已“识别并修复”漏洞，并将案件移交执法部门。此类供应链攻击比直接入侵更隐蔽，因其利用的是合法权限内的信任关系。对于用户而言，这类行为往往表现为异常的签名请求或静默交易，在资产消失前难以察觉。

责任归属与赔偿承诺

事件发生数小时内，平台态度从“正在调查”转向明确表态：任何受影响用户将获得全额赔偿。这一承诺标志着平台主动承担后果，而非推诿给第三方责任。此前，Polymarket曾向执法机构移交可疑账户信息，如7月涉及2亿美元交易的案件，但本次移交对象为犯罪行为本身。

重复模式：五个月内三起同类事件

这不是首次第三方引发的安全危机。今年6月，类似漏洞导致约300万美元被盗；5月则有70万美元从内部钱包流出。10月29日事件为五个月内第三起，累计损失达635万美元。三起事件均指向同一根源——第三方接入环节存在薄弱点。

这一频率令人警觉：若连续三次事故源于相同原因，说明平台在供应商准入与持续审计方面存在系统性缺陷。这迫使市场重新评估“最脆弱的第三方”如何决定整个生态的安全边界。

对预测市场的深层影响

2026年，预测市场正加速迈向主流金融体系。Polymarket于9月推出20倍杠杆永续合约，美国监管机构亦在探索其境内化路径。然而，此次钱包被盗事件暴露出前端安全性对用户资产的决定性影响。

尽管快速响应与全额赔偿有助于控制声誉损害，但事实已清晰：一旦第三方脚本可侵入用户会话并执行交易，整个系统的可信度将受到挑战。目前，平台仍处于“仅取消订单”模式，尚未公布恢复时间表、受影响账户数量或供应商被攻破的具体方式。在此期间，核心教训不变——预测市场资产的安全，取决于其前端供应商的最弱一环。