第三方脚本被黑致 270 万美元被盗，Polymarket 紧急熔断

据 Woofun AI 消息，预测市场巨头 在经历短暂交易中断后恢复运行，此次停摆源于一起针对其国际版平台 Polymarket.com 的第三方漏洞攻击。

尽管平台迅速修复了问题并承诺对受影响用户进行全额补偿，但分析人士估算此次安全事件导致约 270 万美元的加密货币被盗。这一突发事件再次凸显了 Web3 应用在依赖传统 Web2 基础设施时面临的供应链安全风险，即便核心智能合约未被攻破，前端脚本的脆弱性仍足以造成实质性资产损失。

从攻击路径来看，此次事件并非直接针对 Polymarket 的核心智能合约或结算系统，而是通过其第三方服务提供商的安全缺口渗透。2026 年 10 月 29 日，美国东部时间下午 2:33，Polymarket 在 X 平台发布公告，指出已发现并修复了影响国际版平台的问题，并将此事报告给相关执法部门。公告强调，所有受影响的用户都将得到补偿，且交易已于美国东部时间下午 3:00 左右恢复。

值得注意的是，负责开发 DeFi 分析工具 的匿名开发者 0xngmi 在 X 平台上披露了更详细的技术细节：攻击者袭击了一家从事网页性能监测的公司，而该公司的脚本会在 Polymarket 上被调用，导致所有访问过 Polymarket 的用户都受到了影响。0xngmi 追踪到此次漏洞攻击造成的损失约为 270 万美元，但补充称用户的钱包助记词并未遭到泄露，这意味着攻击主要局限于特定会话或前端交互层面的资金窃取，而非大规模私钥盗取。

Woofun AI 整理数据显示，Polymarket 并非首次遭遇安全挑战。早在 5 月，该平台曾遭遇过一次安全漏洞，当时黑客利用一个已使用六年的用于内部操作的私钥突破了安全防线，导致约 70 万美元的加密货币被盗。分析公司 指出，在那次事件中，攻击者正在将 token 转移到 16 个地址中，其中包括一些加密货币交易所的地址。Polymarket 当时确认了这一事件，但声称客户资金、智能合约以及市场结算系统均未受到影响。随后，该公司更换了被攻破的私钥，撤销了相关权限，并宣布计划将私钥迁移至更安全的密钥管理系统，以防止类似事件再次发生。

然而，此次 10 月的攻击表明，即便后端密钥管理得到加强，前端第三方服务的集成依然是一个巨大的安全隐患。两次事件合计损失超过 340 万美元，且攻击向量从内部私钥管理转向外部供应链依赖，反映出攻击者正在不断寻找新的薄弱环节。

此次事件对 Polymarket 的品牌信誉和用户信任构成了严峻考验。虽然平台承诺全额赔偿，但频繁的安全漏洞暴露了其安全架构中的系统性缺陷。从结构上看，Polymarket 作为去中心化预测市场的领导者，其业务模式高度依赖用户资金的实时流动和信任基础。任何导致资金损失的事件，无论是否由核心合约漏洞引起，都会引发市场对平台整体安全性的质疑。

更关键的变量在于，随着 Web3 应用越来越复杂，对第三方服务的依赖程度不断加深，如何确保这些服务的安全性成为了一个亟待解决的难题。Polymarket 需要重新评估其第三方供应商的安全标准，并建立更严格的监控和应急响应机制。这是继 5 月私钥泄露事件之后，Polymarket 面临的又一次重大安全危机，若不能从根本上解决供应链安全问题，类似的漏洞攻击可能会再次发生，进而影响整个预测市场生态的稳定性和用户信心。