Polymarket 交易者因網站供應商遭入侵而失財，交易介面還安全嗎？

Polymarket 10月29日的安全漏洞透過一個遭入侵的網站供應商波及交易者。研究人員發現了試圖利用已登入帳戶來賣出部位並轉移資產的程式碼，暴露出交易者對他們用來管理資金的螢幕所寄予的信任。

一名使用「Car」名義的交易者表示，他的 Polymarket 帳戶中約有80萬美元消失，且他所有的部位都已被賣出。他說他在另一台裝置上持續交易，並避免點擊不熟悉的連結。

在 Polymarket 於10月29日限制其國際交易所之際，其他交易者也通報了損失。該公司隨後確認一家第三方供應商遭入侵，並承諾賠償受影響的客戶。

逐漸浮現的技術說法指向在正版交易網站內部載入的軟體。安全研究人員發現一個監控腳本，該腳本試圖觸及已登入交易者用來下單及授權錢包操作的工具。

對這些使用者而言，危險可能透過他們早已開啟用於交易的頁面降臨。調查關注的是在該頁面內運作的軟體，以及它所能觸及的帳戶權限。

Polymarket 的事件通知記錄了一次從 UTC 18:05 至 19:05 的暫停。該公司表示已修復此問題，並將事件移交執法機關，但尚未公布完整調查或最終損失總額。

此次入侵發生在另一家遭入侵的供應商將惡意程式碼引入網站之後4個月。Polymarket 在該事件後同樣承諾退款。

交易者在 Polymarket 停止交易前通報部位遭賣出

一名使用「Car」名義的交易者表示，他的帳戶被盜走約80萬美元，而他的一位朋友又損失了60萬美元。他說他所有的部位都已被賣出。

在描述此事件的貼文中，Car 表示他將個人活動、軟體開發與交易分散在不同裝置上。他懷疑平台網站有問題，因為其他使用者似乎也受到了影響。

他的帳戶描述的是在使用交易服務時遭受的損失，而非他所稱刻意批准的轉帳。Polymarket 隨後的聲明確認一家供應商遭入侵，儘管並未公布關於他個人帳戶的調查結果。

另一個帳戶 StarPlatinum 追蹤了一個疑似收款錢包，並估計該錢包已累積268萬美元。該帳戶表示，餘額在大約一小時的提領期間持續增長。

該觀察者的時間線將首批入帳置於 UTC 約17:05，早於該公司發布初步服務限制。其聲稱該錢包在 UTC 17:25 時持有41.2萬美元，並在 UTC 17:50 時持有202萬美元。

正如 crypto.news 先前報導，最初的損失通報包含資金曾流經 Polymarket 存款錢包基礎設施的指控。這些描述來自交易者與區塊鏈觀察者，當時該公司仍在調查中。

該公司後來表示已修復此問題，並將賠償受影響的使用者。它並未確認個別損失金額，也未採納該觀察者的估計作為其最終核算。

事件期間流傳的一張截圖顯示了一個與 Polymarket 網域相關的錢包簽署請求。它顯示了一個 DepositWallet 資料欄位與 Polygon 的鏈識別碼，但並未顯示已完成的交易，或重建個別帳戶活動所需的完整細節。

使用者通報同時包含從帳戶轉出的資產，以及在所有者打算平倉前就被賣出的部位。Polymarket 尚未說明是否每位受影響使用者都經歷了這兩種情況。

Polymarket 在一小時停機後恢復服務

Polymarket 最初將交易所切換為僅限取消模式，並在其團隊進行調查期間暫停中繼器操作。該限制允許用戶取消現有訂單，同時新訂單和交易停止處理。

UTC 18:37，該公司表示已識別並修復了影響其國際平台的問題。該公司稱一家第三方供應商遭到入侵，作為預防措施，交易仍暫時停止。

狀態頁面在 UTC 18:55 發布了另一則更新，稱交易將於東部時間下午 3 點左右恢復。該事件於 UTC 19:05，即東部夏令時間下午 3:05 被標記為已解決。

該公司的恢復訊息重申了對受影響交易者的賠償承諾。該通知並未宣布在交易恢復時所有退款均已支付完畢。

Polymarket 的中繼器是用于將已簽署的錢包操作提交至區塊鏈的基礎設施的一部分。在調查期間，暫停這些操作與對其訂單簿的限制同時進行。

其交易文件描述了一個系統，用戶創建已簽署的訂單，運營商匹配買家和賣家，合約在鏈上結算交易。十月事件通知將 Predictions Trading API（通常稱為 CLOB）列為受影響的服務之一。

隨著應對工作的推進，該公司繼續通過其公開狀態服務發布更新。帳戶訪問、市場數據和訂單執行在那裡分別列出。

10 月 29 日宣布的限制涉及國際平台。Polymarket 在事件通知中並未將其獨立的美國交易所列為受影響的場所。

在對未授權交易的調查繼續進行的同時，服務已恢復。公開更新並未指明攻擊者，也未描述該供應商最初是如何被入侵的。

根據其聲明和後續報導，Polymarket 將該事件轉介給了英國當局。DebugBear 總部位於英國。

調查人員將此次入侵關聯至一個監控腳本

DebugBear 的產品幫助網站運營商測量加載速度及訪客體驗的其他方面。其實時用戶監控服務使用嵌入客戶網站中的 JavaScript。

該供應商承認存在持續的安全事件，並建議使用該產品的客戶移除其嵌入代碼。路透社援引一位知情人士的話，確認 DebugBear 為涉及 Polymarket 事件的供應商。

Polymarket 自己的狀態通知提到了一家第三方供應商，但未指名。該公司表示問題已修復，但未在該公告中發布完整的技術報告。

安全公司 Hudson Rock 檢查了從 DebugBear 基礎設施提供的一個 JavaScript 文件。在其調查中，研究人員表示該文件在 Polymarket 運行中的應用程序裡搜索已登錄帳戶所使用的交易客戶端和簽名器。

該公司稱，該代碼在嘗試將價值轉移至配置的接收方之前，檢查了餘額和頭寸。它發現了轉移頭寸代幣和出售頭寸的不同路徑，然後再嘗試轉移收益。

Hudson Rock 表示，該代碼試圖重用已認證會話中可用的訪問權限。其審查未發現有例程將助記詞、密碼或私鑰發送至該腳本的報告端點。

研究人員在 Polymarket 的生產構建元數據中發現了移除 DebugBear 集成的引用。他們表示該條目支持移除該集成，但用戶暴露的確切時間段仍未解決。

BleepingComputer 另行檢視了該腳本的一份副本，並描述了利用現有交易時段下單及轉移資產的企圖。其區塊鏈審查追蹤了約 2,860 萬枚 POL，從疑似收款方流向另外三個錢包。

該刊物在其審查時將該筆資金流動估值約為 257 萬美元。Hudson Rock 引用了另一份收款方餘額快照，接近 219 萬美元，而其他觀察者報告的總額接近 270 萬美元。

Polymarket 尚未在公司虧損報表中對這些估算進行核對。這些報告在一項仍在發展中的調查期間使用了不同的觀察結果和估值時間。

該公司公開更新中均未指明控制收款錢包的人員。供應商遭入侵、未經授權交易報告以及後續轉移，仍是移交執法部門的調查對象。

退款承諾涵蓋持倉被賣出的交易者

Polymarket 表示受影響用戶將獲得全額補償，並重申在服務恢復後將全額退還交易者。該聲明未設定提交索賠的截止期限，也未要求每位客戶在特定時間內提取資金。

該公司尚未公布針對十月事件的詳細補償政策。它尚未說明是否所有情況都會自動付款，或者某些用戶是否需要提供有關爭議活動的資訊。

Car 報告其持倉被賣出，這引發了一個超出錢包餘額缺失的問題。交易者可以持有尚未發生事件的合約，在結算前賣出，或保留至結果確定。

Polymarket 的持倉文件將 Yes 和 No 持倉與用於購買它們的抵押品分開描述。一個完整組合由 1 pUSD 支撐，而單一結果的最終賠付取決於記錄的結果。

該平台的規則允許交易者在結算前賣出持倉。當發生未經授權的賣出時，帳戶的交易歷史可以記錄被移除的合約以及在後續任何提款之前收到的款項。

Polymarket 尚未說明是否會恢復被賣出的合約、以特定市場價格補償客戶，或採用另一種方法。其公開承諾涵蓋受影響的交易者，但未具體說明每種類型的帳戶活動將如何處理。

該平台的訂單文件記錄了從提交訂單到確認已結算交易之間的各個階段。訂單可以保持未成交、與另一位交易者撮合、過期或未能結算。

該公司在審查爭議活動時可以同時利用交易記錄和區塊鏈記錄。用戶關於非自願賣出的報告涉及訂單歷史，而從錢包轉出的資金則留下單獨的交易記錄。

恢復通知中未出現全公司範圍的付款時間表。該公司的聲明未要求客戶支付恢復費用或披露錢包恢復憑證以獲得退款。

六月的入侵導致了早先的全額退款承諾

該公司早先的退款承諾是在區塊鏈分析師 Specter 估計至少 11 個錢包損失約 294 萬美元之後作出的。該分析師描述持有 PUSD 的用戶，其資產隨後被轉換為 ETH。

Specter 將該事件定性為透過受影響介面進行的釣魚攻擊。該公司的披露指出，一個遭入侵的供應商是該腳本觸及部分用戶的途徑。

AMLBot 隨後將六月損失估計提高至 310 萬美元。其 6 月 27 日的記述描述了在 Polygon 上取得的 PUSD，透過 Relay 轉換，橋接至 Ethereum 並兌換為 ETH。

Polymarket 六月的承諾是全額退還受影響用戶。該公司十月的聲明針對最新事件作出了新的補償承諾。

該公司尚未表示這兩次入侵涉及同一供應商或攻擊者。六月的披露和十月的調查都涉及該平台使用的外部軟體，但它們描述的是相隔四個月的獨立事件。

較早的事件發生於 Polymarket 正在擴大 PUSD 在其交易基礎設施中的使用之際。其六月聲明針對受惡意腳本影響的用戶，並未宣布暫停 Polymarket 品牌下提供的所有市場。

十月的回應同樣包括移除或修復遭入侵的整合，並在團隊調查期間限制活動。每起案件中公布的技術細節與受害者總數遵循不同的時間線。

六月的報告並未提供逐筆交易記錄以顯示每筆退款均已完成。Polymarket 的最新通知同樣未公布十月已完成補償的清單。

研究人員檢查了交易頁面內運行的軟體

調查聚焦於用戶已認識的網站所載入的程式碼。Hudson Rock 的報告描述了在運行中的應用程式內定位交易客戶端的嘗試，而非指示用戶前往另行品牌的交易所。

由 Mozilla 維護的瀏覽器文件說明，直接包含在頁面中的 JavaScript 可以存取該頁面內的其他腳本與資料。以該方式載入的監控腳本所運行的存取權限，與隔離在獨立框架內的內容不同。

網站營運者將此類整合用於分析、錯誤回報與效能測量。DebugBear 將其真實用戶監控產品描述為收集有關訪客如何體驗網站的資訊。

Polymarket 的交易介面執行一組不同的任務，包括顯示持倉、準備訂單以及與簽署器互動。研究人員表示，所取得的檔案包含針對這些交易功能的邏輯。

Polymarket 的錢包文件描述了多種帳戶類型，包括存款錢包以及舊版 Proxy 與 Safe 錢包。其文件將存款錢包指派給在 2026 年 5 月 4 日或之後部署的帳戶。

該平台允許錢包所有者授權一個獨立的簽署器進行指定的交易活動。其測試版會話金鑰文件表示，此類金鑰可為存款錢包進行交易，但無法提取其資金。

該公司並未將會話金鑰認定為十月入侵的原因。研究人員的報告描述了利用應用程式中已可用的客戶端與簽署器的嘗試。

Polymarket 的訂單指南表示，用戶簽署包含交易結果識別碼、方向、價格、數量及其他條款的結構化訊息。營運者在撮合訂單前驗證簽章、餘額與授權額度。

撮合後的交易隨後傳送至結算合約，平台記錄執行是否已確認或失敗。十月的狀態通知並未報告 Polygon 共識失敗，也未宣布每個結算合約均已遭入侵。

該公司迄今的公開回應已指出供應商遭入侵並承諾賠償，但未公布每條簽署與轉帳路徑的完整說明。

瀏覽器保護取決於網站信任哪些程式碼

網站可以載入供應商的軟體，而無需將訪客送往另一個位址。瀏覽器在開啟頁面時會連同交易所自身的應用程式碼一併擷取該檔案。

Mozilla 的瀏覽器文件說明，直接嵌入頁面中的腳本可以以該頁面的存取權限運作。供應商作為效能監控的商業角色本身並不會施加瀏覽器限制，將其程式碼侷限於測量載入時間。

置於獨立隔離框架中的內容具有不同的邊界。包含在交易應用程式中的腳本不會僅因由另一家公司提供而獲得該隔離。

十月的調查將該區別置於金融應用程式之內。Polymarket 的頁面在顯示餘額與持倉的同時，連接至準備訂單與請求簽章的服務。

該公司並未公布獲准在該環境中運行的外部程式碼的完整清單。其事件聲明指出了供應商遭入侵，但未描述整合之前所進行的權限審查。

瀏覽器提供旨在限制此類暴露的控制措施。Mozilla 的子資源完整性文件描述了一種方法，可將下載的指令碼與網站指定的密碼學指紋進行比對檢查。

若下載的檔案與預期指紋不符，瀏覽器會拒絕執行它。因此，供應商若變更檔案，將需要網站核准新版本，才能在該檢查下執行。

此保護取決於網站是否針對相關資源部署該機制。Polymarket 的公告並未說明受影響的整合是否使用了此類檢查，也未公布關於為何所擷取的程式碼被接受的調查結果。

Mozilla 的內容安全政策指引描述了另一組對可執行指令碼的控制措施。政策可限制來源，或使用 nonce 與雜湊來授權特定程式碼。

對供應商主機的許可本身並不驗證該主機所提供的每個檔案。主機可以保持不變，而從其傳遞的內容卻發生變化。

這些控制措施在程式碼於瀏覽器中執行之前或執行時運作。它們的用途與交易客戶端提交訂單後審查訂單的交易所監控不同。

交易權限與提款權限具有不同的限制

Polymarket 自身的文件描述了限制受委託簽署者所能執行之操作的努力。其測試版工作階段金鑰系統讓錢包擁有者能在指定限制內授權一把獨立金鑰進行交易。

文件指出，工作階段金鑰無法提取資金。其權限可涵蓋中央訂單簿、組合交易或支援的交易場所，且擁有者授予授權的期間有明確界定。

交易權限仍允許會改變投資組合的活動。此區別對於回報持倉在未經其同意下被賣出的客戶而言很重要，即使在任何收益離開錢包之前也是如此。

Polymarket 尚未指認測試版工作階段金鑰系統是十月的入侵點。研究人員描述了尋找應用程式可用的即時客戶端與簽署者的嘗試，而該公司尚未說明每個受影響帳戶中成功使用了哪些權限。

該平台的訂單生命週期指南描述了訂單在營運者驗證與撮合之前於鏈下簽署的流程。檢查涵蓋簽章、帳戶餘額與授權額度等條件。

隨後透過區塊鏈合約進行結算。紀錄會區分已撮合的訂單與結算已確認或已失敗的訂單。

有效簽章是該流程的一部分，但並不能證明檢視螢幕的人想要進行該筆交易。據報導的攻擊試圖利用透過準備這些請求的應用程式所可用的授權。

公開調查結果並未證實每種錢包類型都允許無聲簽署，也未證實每次嘗試的操作都成功。Polymarket 支援多種錢包配置，而其公司調查尚未將受影響帳戶對應到這些配置。

該公司六月的事件已經暴露了對外部網站程式碼的類似依賴。其先前的前端入侵涉及透過遭入侵的相依套件向部分訪客傳遞的惡意指令碼。

十月的應對再次需要在平台層級採取行動：交易限制、暫停中繼器操作，以及修復受影響的整合。客戶各自獨立的交易裝置並未讓他們能控制網站選擇載入的軟體。

退款必須同時處理交易與缺失的現金

Polymarket 已承諾讓受影響用戶恢復原狀，但其狀態通知並未說明將如何評估未經持有人批准而平倉的頭寸價值。恢復現金餘額與恢復未平倉事件頭寸可能產生不同的帳戶持倉。

合約被賣出的交易者可能原本打算持有這些合約直到選舉結果或其他事件解決。銷售記錄顯示合約在當時的成交價格，而其後續市場價值在補償前可能發生變化。

該公司尚未說明是否會替換合約、使用爭議銷售前一刻的價格，或採用其他估值方法。該公司也未宣布用戶必須等待底層事件解決。

Polymarket 的交易記錄和錢包歷史提供了該帳戶的不同部分。訂單歷史記錄頭寸的變化，而區塊鏈記錄可以顯示抵押品或代幣的後續轉移。

收款錢包的餘額本身無法識別每個客戶的損失。個別索賠可能涉及一系列交易、轉移以及後續通過其他地址的資金流動。

早前六月的調查追蹤了資產從 Polygon 通過跨鏈橋進入以太坊上的 ETH。隨著分析師追蹤到更多活動，其修訂後的損失估計在最初退款公告後有所上升。

Polymarket 尚未公布十月的索賠截止日期或付款時間表。其國際支持服務仍與美國交易所分開，事件通知並未將該交易所列為受影響。

該平台於 10 月 29 日 UTC 19:05 恢復交易。其公開通知記錄該服務事件已解決，同時保留對受影響客戶進行補償的承諾。

值得關注的事項

技術發現：該腳本成功使用了哪些帳戶權限，以及哪些錢包類型受到影響。

供應商控制：該公司關於外部軟體如何進入交易應用程式的調查結果。

損失核算：一份能夠核對受影響帳戶和未經授權交易的公司總額。

退款條款：Polymarket 如何評估已售出頭寸的價值，以及客戶何時收到補償。

常見問題