Polymarket 供应商入侵事件：注入的脚本从用户钱包转走约270万美元
加密预测市场 Polymarket 曾短暂暂停交易：一个通过被入侵的第三方供应商注入的恶意脚本开始从用户钱包中转出资金。根据 Bubblemaps 的链上监测，损失约为270万美元，涉及约700名用户，公司并未确认这些数字。目前交易已经恢复，Polymarket 表示将向受影响用户进行赔付。
当可信的前端变得充满敌意
综合援引《华尔街日报》消息人士与区块链安全研究人员的报道，一家网站性能监控供应商提供的脚本被改动，用于精准识别处于登录状态、交易会话仍然活跃的访客。Hudson Rock 的研究人员表示，该代码的作用是变卖持仓，并将所得转入脚本中内嵌的攻击者地址。《华尔街日报》援引的一位官员指出，涉事供应商是网站性能监控公司 DebugBear，一家英国企业；该公司自称受到一起持续进行的安全事件影响，并要求客户移除其嵌入代码。这一归属目前仍属被报道的怀疑，而非经证实的结论，不过 Polymarket 表示其自身网站并未被入侵。 此次资金外流由 Bubblemaps 追踪绘制。其分析师估计，在资金流被切断之前，约有270万美元从大约712个充值钱包中被转走。被盗资金被兑换成 Polygon 的原生代币 POL，并分散转移到一串地址。Polymarket 未确认监测数字；同样的链上分析还发现，一则被广泛转发的“个人损失80万美元”的说法站不住脚，因为该钱包的提现模式与其他受害者不同。“我们会处理好此事，并向所有受影响的交易者全额赔付。”这一承诺出现于交易所分阶段处置事件的期间：先是“仅可撤销”模式，已挂出的订单可以撤回但不能再下新单；随后暂停了交易提交服务；最终全面恢复交易。Polymarket 已将此事移交供应商所在地英国的执法部门，并表示单独受监管的美国平台 Polymarket US 未受影响。
年内第二次源自供应商的入侵
对 Polymarket 而言，这是2026年内第二次源自供应商而非自身基础设施的入侵。今年6月，公司曾披露一个第三方供应商被入侵，向其前端注入了恶意脚本，影响了部分用户。被盗的 PUSD——Polymarket 的结算代币——经桥接从 Polygon 转至 Ethereum，并兑换成约1,893枚 ETH，涉案金额估计为294万美元。那一次的外流波及的群体小得多，约为11到15个账户，但逻辑如出一辙：经由可信渠道抵达的代码，在用户没有任何理由怀疑的网站页面内执行。 今年5月还有一起事件：一个内部充值钱包因私钥泄露被转走约70万美元。它不属于供应商模式，但指向同一方向——交易平台上用户资金的安全，远不止平台自身边界之内的事。为什么前端供应链攻击如此有效
一个拥有多年历史的合法域名，可以在无人察觉的情况下连续数小时提供恶意代码，而任何钓鱼警告都不会触发，因为页面上没有一样东西是伪造的。挂锁图标、书签、地址的正确拼写仍在说“相信我”。Polymarket 的两起事件都恰恰把这种信任当作了攻击面，这正是此类攻击与普通钓鱼的区别，也是它在当下更难被察觉的原因。- 浏览器连接的热钱包里只保留小额余额，把它们当作零花钱而不是存款。
- 优先使用硬件钱包或具备交易模拟、能在签署前标记异常授权的钱包防护工具。
- 定期检查仍然有效的代币授权，撤销不再需要的部分。
- 当平台公告前端或供应商遭入侵时，退出登录、结束其他会话，并把事件时间窗内签署过的一切都视为需要重新核查。