Polymarket 再遭劫：260 万美元被盗，归咎第三方

据 Woofun AI 消息，基于加密货币的预测市场 因第三方供应商系统被入侵，遭遇重大安全漏洞，导致近 1000 个用户账户资金被盗，总损失超过 260 万美元。该事件并非孤立个案，而是继今年 6 月同类攻击后的再次重演，凸显了去中心化金融平台在依赖外部服务时面临的系统性风险。

区块链分析师 详细披露了此次攻击的具体细节。数据显示，共有 995 个账户遭到攻击，被盗资金总额精确至 2,654,211.42 美元。其中，损失最严重的两个账户分别损失了 341,000 美元和 307,000 美元。

值得注意的是，攻击者并未直接持有被盗资金，而是迅速将所有窃取的资金转换为 的原生 token——。这种操作策略很可能是为了避免资金被平台或执法机构冻结，从而增加追踪和追回难度。据估计，攻击者总共获得了约 2860 万枚 POL token。一名交易者在 X 平台上发出紧急警告，声称自己刚刚损失了 80 万美元，其朋友也损失了 60 万美元，并强烈建议其他用户立即锁定账户，避免与网站进行任何交互。

这一警告迅速在社区内引发恐慌，用户纷纷检查自身资产安全状况。

区块链调查机构 StarPlatinum 通过链上数据还原了攻击的时间线。世界标准时间 17:05 左右，一个此前为空的钱包开始接收资金；到 17:25 时，该钱包内的资金已增至约 412,000 美元；随后在 17:50，这一数字迅速上升至 202 万美元；到了 18:05，累积金额达到了约 268 万美元。从空钱包到吸收近 270 万美元资金，整个过程仅耗时一小时，显示出攻击者具备极高的执行效率和对平台漏洞的精准把握。

Woofun AI 整理数据显示，这种快速转移和转换资产的行为是近期 DeFi 黑客攻击的典型特征，旨在最大化资金流动性并最小化暴露时间。

Polymarket 官方确认，此次安全漏洞是由于第三方服务提供商遭到黑客攻击所引发的，该供应商在 Polymarket 网站上嵌入的 JavaScript 组件被植入了恶意代码。这与此前 6 月的攻击模式高度相似，当时黑客同样通过攻破第三方供应商系统，在前端代码中注入恶意 JavaScript 程序，从至少 11 个钱包中窃走了约 294 万美元的资金。Polymarket 表示已发现并修复了影响其国际版平台 Polymarket.com 的问题，并将此事报告给了相关执法部门。出于谨慎考虑，平台暂时停止了交易，正在努力恢复运行。官方同时承诺，所有受到影响的用户都将获得全额赔偿，这意味着因攻击而遭受损失的用户无需承担财务后果。

这一承诺虽缓解了用户焦虑，但也再次引发了关于中心化平台责任边界和安全架构韧性的深层讨论。