Polymarket 国际版因第三方服务遭劫持暂停交易，承诺全额赔偿

2026年10月29日，预测市场平台 Polymarket 的国际版本因用户报告出现未经授权的资金转移而临时停止交易。此次事件源于平台所依赖的第三方服务提供商账户遭入侵，攻击者借此篡改了用户界面内容，诱导用户确认虚假交易。值得注意的是，平台核心的智能合约系统未受波及。

事件本质：供应链攻击而非代码漏洞

Polymarket 是一个基于区块链的预测市场，用户通过买卖未来事件结果份额来表达对概率的判断。其结算机制由自动执行的智能合约完成，确保无需中介即可实现公平清算。

公司澄清，本次问题并非源自智能合约本身。攻击者通过控制嵌入在官网中的第三方服务，获取了与平台相同级别的浏览器权限。这意味着他们可以在不修改合约逻辑的前提下，伪造用户看到的交易界面，诱使用户提交恶意操作。

目前尚未公开涉事服务商的具体名称。据路透社援引匿名消息源称，该服务为网站性能监控工具；福布斯则将其描述为页面加载速度追踪平台。尽管存在媒体报道，但平台官方尚未正式确认，相关信息仍属待核实范畴。

损失规模：约265万美元的POL代币被转走

截至目前，尚无官方公布的精确数据。平台未披露具体损失金额及受影响账户数量。多方机构给出的估算存在差异：

研究机构 Arkham 分析指出，被盗资产约为265万美元，以 Polygon 网络上的 POL 代币形式转移。另一数据平台 DeFiLlama 列出的金额略低于270万美元。Crypto Economy 报道称损失为265万美元，且相关交易已恢复。

关于受害人数的说法分歧明显。有报告显示近1,000个账户共损失约260万美元，另一说法则称不足15个账户损失达300万美元。两者无法共存，反映出两种可能：广泛影响暗示所有访问者界面被操纵，而极少数大额损失则指向特定高价值账户遭针对性攻击。截至10月30日上午，真实情况仍在调查中。

应急措施：仅取消模式保障退出通道

Polymarket 将系统切换至“仅取消”状态——允许用户撤销已有订单，但禁止新订单创建。这种机制是交易所应对中断的标准做法：冻结新增资金流入，同时保留现有持仓用户的退出权利。

不同媒体对中断时长报道不一，从半小时到数小时不等。唯一确定的是，平台当天即完成修复并恢复运营。公司在持续调查的同时宣布所有系统恢复正常运行。

赔偿与追责：承诺落地仍需验证

Polymarket 表示已修复漏洞，并承诺向所有受影响用户进行全额赔偿。据路透社报道（福布斯引用），公司已将案件移交英国执法部门处理。

然而，承诺不等于实际赔付。对于未在欧盟持有牌照的平台，德国用户无法依据本地金融监管法规主张可执行索赔。最有效的证据链包括：交易发生时间、区块链交易哈希、以及与服务商的沟通记录。个人应主动保存这些信息以备后续维权或税务申报之需。

历史重演：2026年春季以来第三次类似事件

这不是首次事故。2026年6月28日，该平台曾遭遇约310万美元被盗事件，当时也确认攻击起点为外部供应商。这一模式揭示了一个关键趋势：攻击者不再直接瞄准平台核心代码，而是聚焦于其外围接入层——如网站脚本、API 接口和嵌入式服务。

这表明，即使底层结算系统坚如磐石，前端展示层仍是潜在薄弱环节。这类“外层”组件构成了连接用户与可信系统的脆弱桥梁。

为何第三方代码会出现在交易平台？

几乎所有主流交易站点都会集成非自研服务，例如错误日志记录、页面加载监测、用户行为统计、在线客服插件和支付接口。这些服务均会在用户浏览器中注入代码，拥有与主站相同的访问权限。

这种攻击路径被称为“供应链攻击”，即绕过目标系统，转而攻击其生态中的合作伙伴。由于单个被攻破的服务可能影响数十家平台，且攻击过程对用户几乎不可见（地址栏、证书、品牌标识均正常），因此极具隐蔽性和传播力。

近期类似案例包括2026年10月下旬，Coinbase 某服务提供商发生数据泄露事件。虽然账户余额未被窃取，但泄露的联系信息随后被用于钓鱼攻击，再次印证了同一攻击模式的存在。

法律框架：预测市场在欧洲的监管模糊地带

在欧盟，预测市场的法律地位尚不明确。根据其运作方式，它们可能被归类为金融工具、赌博活动，或不属于任何现行监管类别。这直接影响哪个监管机构有权管辖。

《加密资产市场监管条例》（MiCA）主要规范加密资产交易，但并未涵盖对事件结果的投注行为。因此，在未获欧盟牌照的平台上交易的用户需自行承担全部风险。银行存款保险制度在此不适用，向德国联邦金融监管局（BaFin）投诉也无法获得有效救济。

相比之下，通过欧盟持牌平台进行交易至少可在争议中获得监管机构支持。

托管模式决定风险边界

在类似事件中，账户类型决定了损失程度。若资金存于平台内部交易账户，由平台持有私钥并维护债权记录，用户面临更高的信用风险。若资金位于用户自主管理的钱包中（即私钥由用户掌控），则控制权始终属于本人。

Polymarket 允许用户连接自己的钱包进行交易，这是更优选择。但前提是用户必须清楚授权意味着什么：一旦批准，应用即可在权限范围内操作资金，尤其在界面被篡改时，极易造成意外支出。

钱包授权：攻击者的首选入口

在实际操作中，钱包连接通常包含两个步骤：显示余额与授予代币使用权限。后者常设置为无限额度且无过期时间。许多用户去年甚至更早便授予了此类权限，至今仍处于激活状态。

因此，在此类事件后，首要行动是立即撤销所有旧有的、不必要的代币授权，尤其是那些长期未使用的平台。如果您从未执行过此操作，您的账户可能正携带多个“隐形开关”，随时可能被滥用。

杠杆交易的影响：暂停期间的风险放大

杠杆交易指用户借入资金扩大头寸规模。当市场价格触及预设阈值时，仓位将被强制平仓，称为清算。

交易暂停在此类场景下产生双重压力：若市场剧烈波动，用户无法追加保证金或及时卖出，将丧失对本金的控制权。尽管预测市场通常不采用杠杆，但在衍生品交易所中，“仅取消”模式实则是防止进一步损失与被迫在极端价格强行平仓之间的关键缓冲。

参与杠杆交易的用户应仔细阅读平台协议中关于系统中断的条款，了解自身风险敞口。

税务影响：赔偿是否构成应税收入？

从税务角度看，本案具有复杂性。主流观点认为，加密资产被盗不视为销售行为，因此不会触发应税收益。能否申报资产损失存在争议，取决于具体情形。

另一方面，若平台以其他代币形式支付赔偿，可能被视为一次新的资产兑换。此时，持有期将从收到赔偿之日起重新计算。对纳税人而言，必须分别记录原始资金流出的时间与金额，以及赔偿到账的时间与形式。

鉴于涉及金额较大，建议咨询专业税务顾问，避免误报或遗漏。

总结：赔偿承诺虽强，但接入层风险依然存在

尽管 Polymarket 已恢复运营并承诺全额赔偿，远优于多数同类事件后的处理结果，但此次事件再次凸显了数字生态中的深层隐患。

当前有三项关键建议值得用户重视：

• 立即撤销所有旧有、无限期的代币授权，特别是已停用平台的权限。
• 将闲置资金从平台账户移出，仅保留交易所需部分，其余转入自己完全掌控的钱包。
• 完整保存所有证据：交易哈希、时间戳、通信记录等，为未来可能的税务申报或索赔提供支撑。

（截至2026年10月30日。本文不构成投资建议。价格和费用结构可能发生变动；购买前请与平台核实最新条款。）