Polymarket 遭遇安全漏洞，737 个钱包被盗取约 270 万美元

10 月 29 日，预测市场平台 Polymarket 遭受安全漏洞攻击，导致数百个用户钱包中的资金被洗劫一空，损失金额约为 270 万美元。此次攻击中，攻击者通过入侵第三方监控服务，并向该平台网站注入恶意代码，从而实施了犯罪活动。

该攻击针对的是 Polymarket 的国际交易界面，利用了一家名为 DebugBear 的网站性能监控提供商的服务。DebugBear 的 JavaScript 脚本遭到篡改，被用于执行未经授权的转账交易。区块链分析数据显示，共有 737 个账户受到影响，损失金额约为 273 万美元。被盗资金是通过 Polymarket 现有的提现基础设施转移的。

事发后，Polymarket 暂时停止了交易，禁用了交易处理功能，并移除了受影响的集成模块，随后恢复了运营。该公司已确认发生安全事件，将此事移交英国执法部门处理，并承诺向所有受影响的用户进行全额赔偿。

此次泄露并未涉及 Polymarket 智能合约中存在已知漏洞，而是利用了通过可信第三方服务分发的软件缺陷。

被篡改的 DebugBear 脚本导致数百个 Polymarket 钱包资金被盗

攻击起源于通过 DebugBear 的真实用户监控（RUM）基础设施分发的恶意 JavaScript 代码。RUM 是一项网站性能监控和用户活动监测服务。

安全研究人员发现，被篡改的脚本包含“盗取钱包”的功能，能够与经过身份验证的 Polymarket 交易会话进行交互。一旦恶意代码加载到用户的浏览器中，它就可以检查账户余额、识别未平仓头寸，并启动未经授权的资产转移。

该脚本试图利用 Polymarket 现有的交易基础设施，清算预测市场头寸并将加密货币持仓重定向至攻击者控制的地址。

与传统智能合约漏洞不同，此次攻击无需破解底层区块链合约。相反，它是在通过网站前端获得访问权限后，滥用了合法的交易和提现功能。

DebugBear 承认其基础设施发生了安全事件，并敦促使用其监控服务的客户从网站上移除嵌入的 JavaScript 代码。

随后，Polymarket 移除了受影响的依赖项，其生产构建版本显示进行了更新，专门针对 DebugBear 监控集成部分进行了修复。

此事件与此前 6 月的一次攻击类似，当时另一个被篡改的第三方依赖项允许恶意代码进入平台前端，导致 Polymarket 用户损失约 294 万美元。这两起事件均凸显了外部软件集成可能使用户资产面临风险，即使平台的核心智能合约保持正常运行状态。

区块链分析追踪：737 个账户涉及 273 万美元资金流动

10 月 29 日的交易记录显示，在协调世界时（UTC）17:10 至 18:10 期间，共有 737 个 Polymarket 账户受到影响， unauthorized withdrawals（未经授权提款）金额约为 273 万美元。

调查人员在此期间追踪到 985 笔独立的盗取交易，其中大部分集中在 UTC 17:25 至 18:10 之间。在高峰活动期间，单分钟内记录了多达 40 笔交易。

四个账户占到了已确认损失的约 43%，同时还有数百个小额钱包受到波及。

这些转账通过 Polymarket 合法的中继器基础设施进行，使用了有效的交易授权。被盗资产随后被兑换为 POL（Polygon 的原生加密货币），然后分散转移到其他钱包中。

一个主要接收地址 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 在此次事件中累计获得了约 2860 万枚 POL。

攻击者随后将资金转移到另外三个钱包中，部分资产通过跨链桥接服务路由至以太坊网络。

在 UTC 19:49，约有 217 万美元的追踪资金仍停留在 Polygon 网络上，而其他收益已开始跨网络移动。

链上调查还发现，在 Polymarket 宣布基础问题已修复后的 UTC 19:11，发生了一笔价值约 11 美元的额外提款交易。该交易涉及一个此前受攻击影响的账户，这引发了人们对是否所有恶意授权都被立即中和的质疑。

截至目前，Polymarket 尚未独立确认 273 万美元的损失估计或受影响账户的数量。

Polymarket 恢复交易并承诺全额赔偿

大约在 UTC 18:05，Polymarket 将其国际交易所移至“仅取消”模式，允许用户取消现有订单，同时阻止新交易并暂停中继器操作。

平台在确认并移除受影响的集成模块后，于 UTC 18:37 宣布漏洞已得到解决。交易于大约 UTC 19:05 恢复，中断时间持续约一小时。据报道，单独的 Polymarket 美国平台未受影响。

Polymarket 承诺补偿所有受影响的交易者，但尚未披露合格用户数量、赔偿时间表或是否已追回任何被盗资金。

该公司还将事件移交至英国执法部门，因为 DebugBear 总部位于英国，调查人员正在努力查明监控提供商的基础设施是如何被攻破的。

此次泄露事件加剧了加密货币平台安全领域的困境。同一天，Binance 确认发生了一起价值 63 亿美元的安全漏洞，约 30 亿美元的资产因跨多个区块链的未经授权转账而被冻结。

目前没有任何证据表明这两起事件有关联，且两者的疑似攻击方法存在显著差异。

对于 Polymarket 而言，最新的漏洞再次引发了关于第三方依赖关系以及围绕基于浏览器的加密货币交易保护措施的问题。即使没有直接访问用户的私钥或底层智能合约的漏洞，通过可信网站集成交付的恶意代码也能够触发未经授权的交易和提现。

尽管 Polymarket 已恢复正常交易并承诺承担用户损失，但关于 DebugBear 被攻破的完整技术解释、最终财务影响以及恢复过程的详细信息仍有待公布。