Polymarket用户因网站供应商被黑损失资金，交易界面安全性存疑

Polymarket 10月29日的入侵事件通过一个被攻破的网站供应商波及到了交易者。研究人员发现了试图利用已登录账户卖出仓位并转移资产的代码，这暴露了交易者对他们用来管理资金的屏幕所寄予的信任。

一位使用“Car”这一名称的交易者表示，他的 Polymarket 账户中约有80万美元不翼而飞，且他所有的仓位都已被卖出。他说他在另一台设备上继续交易，并避免点击不熟悉的链接。

在 Polymarket 于10月29日限制其国际交易所之际，其他交易者也在报告损失。该公司随后确认一家第三方供应商遭到入侵，并承诺赔偿受影响的客户。

逐渐浮现的技术说明指向了在真实交易网站内部加载的软件。安全研究人员发现了一个监控脚本，该脚本试图访问已登录交易者用于下单和授权钱包操作的工具。

对于这些用户而言，危险可能通过他们早已打开用于交易的页面降临。调查关注的是该页面内运行的软件及其所能触及的账户权限。

Polymarket 的事件通知记录了一次从 UTC 18:05 到 19:05 的暂停。该公司表示已修复该问题并将事件移交执法部门，但尚未公布完整调查结果或最终损失总额。

此次入侵发生在另一家被攻破的供应商向网站引入恶意代码的4个月之后。Polymarket 在那次事件后同样承诺了退款。

交易者在 Polymarket 停止交易前报告仓位被卖出

一位使用“Car”这一名称的交易者表示，他的账户被抽走了约80万美元，他的一位朋友又损失了60万美元。他说他所有的仓位都已被卖出。

在描述该事件的帖子中，Car 说他将个人活动、软件开发和交易分散在不同的设备上。他怀疑平台网站存在问题，因为其他用户似乎也受到了影响。

他的账户描述的是在使用交易服务期间遭受的损失，而非他声称自己有意批准的转账。Polymarket 随后的声明确认了一家供应商遭到入侵，但并未公布关于他个人账户的调查结果。

另一个账户 StarPlatinum 追踪了一个疑似接收钱包，并估计其已累计268万美元。该账户称，在大约一小时的提款过程中，余额不断增长。

该观察者的时间线将首批入账定在 UTC 17:05 左右，早于该公司发布初步服务限制。它声称该钱包在 UTC 17:25 时持有41.2万美元，到 UTC 17:50 时持有202万美元。

正如 crypto.news 此前报道的那样，最初的损失报告包含资金曾流经 Polymarket 存款钱包基础设施的指控。这些描述来自交易者和区块链观察者，当时该公司仍在调查中。

该公司随后表示已修复该问题并将赔偿受影响的用户。它没有确认个人损失金额，也没有采纳观察者的估算作为其最终核算。

事件期间流传的一张截图显示了一个与 Polymarket 域名相关的钱包签名请求。它显示了一个 DepositWallet 数据字段和 Polygon 的链标识符，但并未显示已完成的交易或重建单个账户活动所需的完整细节。

用户报告既包括从账户转走的资产，也包括在所有者打算平仓之前就被卖出的仓位。Polymarket 尚未说明是否每位受影响用户都同时经历了这两种情况。

Polymarket 在暂停一小时后恢复服务

Polymarket 最初将该交易所切换为仅可取消模式，并在其团队进行调查期间暂停了中继器操作。该限制允许用户取消现有订单，而新订单和交易则停止处理。

UTC 18:37，该公司表示已识别并修复了影响其国际平台的问题。该公司称一家第三方提供商遭到入侵，作为预防措施，交易仍暂时停止。

状态页面在 UTC 18:55 发布了另一条更新，称交易将于美国东部时间下午3点左右恢复。该事件于 UTC 19:05，即美国东部夏令时间下午3:05，被标记为已解决。

该公司的恢复公告重申了其赔偿受影响交易者的承诺。该通知并未宣布在交易恢复时所有退款均已支付完毕。

Polymarket 的中继器是用于将已签名的钱包操作提交至区块链的基础设施的一部分。在调查期间，暂停这些操作与对其订单簿的限制同时进行。

其交易文档描述了一个系统：用户创建已签名订单，运营方匹配买方和卖方，合约在链上结算交易。10月事件通知将 Predictions Trading API（通常称为 CLOB）列为受影响的服务之一。

随着响应工作的推进，该公司继续通过其公共状态服务发布更新。账户访问、市场数据和订单执行在该服务上分别列出。

10月29日宣布的限制涉及国际平台。Polymarket 在事件通知中并未将其独立的美国交易所列为受影响场所。

在对未经授权交易的调查仍在进行期间，服务已恢复。公开更新未指明攻击者，也未描述该提供商最初是如何被入侵的。

根据其声明及后续报道，Polymarket 将该事件提交给了英国当局。DebugBear 总部位于英国。

调查人员将该入侵与一个监控脚本联系起来

DebugBear 的产品帮助网站运营方衡量加载速度及访客体验的其他方面。其实时用户监控服务使用嵌入客户网站中的 JavaScript。

该供应商承认存在持续的安全事件，并建议使用该产品的客户移除其嵌入代码。路透社援引一位知情人士的话称，DebugBear 是涉及 Polymarket 事件的提供商。

Polymarket 自己的状态通知提到了一家第三方提供商，但未指明其名称。该公司称问题已修复，但未在该公告中发布完整的技术报告。

安全公司 Hudson Rock 检查了从 DebugBear 基础设施提供的一个 JavaScript 文件。在其调查中，研究人员表示，该文件在 Polymarket 运行中的应用程序里搜索已登录账户所使用的交易客户端和签名器。

该公司称，该代码在尝试将价值转移至配置的接收方之前，检查了余额和头寸。它发现了不同的路径，用于转移头寸代币以及在尝试转移收益之前卖出头寸。

Hudson Rock 表示，该代码试图复用已认证会话中可用的访问权限。其审查未发现有任何例程将助记词、密码或私钥发送至该脚本的报告端点。

研究人员在 Polymarket 的生产构建元数据中发现了移除 DebugBear 集成的引用。他们表示，该条目支持了该集成已被移除的说法，但用户暴露的确切时间段仍未确定。

BleepingComputer 另行检查了该脚本的副本，并描述了利用现有交易会话下单和转移资产的尝试。其区块链审查追踪了约 2860 万枚 POL 从疑似接收方流向另外三个钱包。

该出版物在其审查时对该笔资金流动的估值约为 257 万美元。Hudson Rock 引用了另一份接收方余额快照，金额接近 219 万美元，而其他观察者报告的总数接近 270 万美元。

Polymarket 尚未在公司损失声明中核对这些估计。这些报告在一项仍在发展中的调查中使用了不同的观察结果和估值时间。

该公司的公开更新均未指明控制接收方钱包的人。供应商被入侵、未经授权的交易报告以及随后的转账仍是已移交执法部门的调查对象。

退款承诺涵盖持仓被卖出的交易者

Polymarket 表示受影响用户将获得全额补偿，并重申在服务恢复后向交易者全额退款。该声明未设定提交索赔的截止日期，也未要求每位客户在特定期间内提取资金。

该公司尚未公布针对 10 月事件的详细退款政策。它尚未说明是否所有情况都会自动付款，还是部分用户需要提供有关争议活动的信息。

Car 关于其持仓被卖出的报告提出了一个超出钱包余额缺失的问题。交易者可以持有尚未发生事件的合约，在结算前卖出，或保留至结果确定。

Polymarket 的持仓文档将 Yes 和 No 持仓与用于购买它们的抵押品分开描述。一个完整组合由 1 pUSD 支撑，而单个结果的最终赔付取决于记录的结果。

该平台的规则允许交易者在结算前卖出持仓。当发生未经授权的卖出时，账户的交易历史可以记录被移除的合约以及在任何后续提款之前收到的款项。

Polymarket 尚未说明是否会恢复被卖出的合约、按特定市场价格补偿客户，还是采用其他方法。其公开承诺涵盖受影响交易者，但未具体说明每种账户活动将如何处理。

该平台的订单文档记录了从提交订单到确认已结算交易之间的各个阶段。订单可以保持未成交、与另一交易者撮合、过期或未能结算。

该公司在审查争议活动时可以同时使用交易记录和区块链记录。用户关于非自愿卖出的报告涉及订单历史，而钱包转出则留下单独的交易记录。

恢复通知中未出现全公司范围的付款时间表。该公司的声明未要求客户支付恢复费用或披露钱包恢复凭证以获得退款。

6 月入侵导致早先的全额退款承诺

该公司的早先退款承诺是在区块链分析师 Specter 估计至少 11 个钱包损失约 294 万美元之后作出的。该分析师描述持有 PUSD 的用户其资产随后被转换为 ETH。

Specter 将该事件定性为通过受影响界面进行的钓鱼攻击。该公司的披露指出，一个被入侵的供应商是脚本到达部分用户的途径。

AMLBot 随后将6 月估计损失上调至 310 万美元。其 6 月 27 日的说明描述了在 Polygon 上取走的 PUSD，通过 Relay 转换，桥接至以太坊并兑换为 ETH。

Polymarket 6 月的承诺是向受影响用户全额退款。该公司 10 月的声明针对最新事件作出了新的退款承诺。

该公司未表示两次入侵涉及同一供应商或攻击者。6 月的披露和 10 月的调查都涉及平台使用的外部软件，但它们描述的是相隔四个月的不同事件。

早先的事件发生在Polymarket于其交易基础设施中扩大PUSD使用范围之际。其6月份的声明针对的是受恶意脚本影响的用户，并未宣布暂停Polymarket品牌下提供的所有市场。

10月份的应对措施同样包括移除或修复受感染的集成，并在团队调查期间限制活动。两起案件中公布的技术细节和受害者总数遵循了不同的时间线。

6月份的报告未提供逐笔交易记录以证明每笔退款均已完成。Polymarket的最新通知同样未公布已完成10月份补偿的清单。

研究人员检查了交易页面内运行的软件

调查聚焦于用户已熟知的网站所加载的代码。Hudson Rock的描述称，其试图在运行中的应用程序内定位交易客户端，而非指示用户访问一个另行品牌的交易所。

由Mozilla维护的浏览器文档解释称，直接包含在页面中的JavaScript可以访问该页面内的其他脚本和数据。以这种方式加载的监控脚本所运行的访问权限，与隔离在单独框架内的内容不同。

网站运营者将此类集成用于分析、错误报告和性能测量。DebugBear将其真实用户监控产品描述为收集有关访客如何体验网站的信息。

Polymarket的交易界面执行另一组任务，包括显示持仓、准备订单以及与签名器交互。研究人员表示，所获取的文件包含针对这些交易功能的逻辑。

Polymarket的钱包文档描述了多种账户类型，包括存款钱包以及旧版代理钱包和Safe钱包。其文档将存款钱包分配给2026年5月4日或之后部署的账户。

该平台允许钱包所有者授权单独的签名器进行指定的交易活动。其测试版会话密钥文档称，此类密钥可以为存款钱包进行交易，但无法提取其资金。

该公司尚未将会话密钥确定为10月份入侵的原因。研究人员的描述称，其试图利用应用程序中已有的客户端和签名器。

Polymarket的订单指南称，用户签署包含交易结果标识符、方向、价格、数量及其他条款的结构化消息。运营方在撮合订单前验证签名、余额和授权额度。

匹配的交易随后进入结算合约，平台记录执行是否确认或失败。10月份的状态通知未报告Polygon共识失败，也未宣布所有结算合约均已被攻破。

该公司的公开回应迄今已确认供应商被入侵并承诺赔偿，但未发布关于每条签名和转账路径的完整说明。

浏览器保护取决于网站信任哪些代码

网站可以加载供应商的软件，而无需将访客引导至另一地址。浏览器在打开页面时获取该文件，与交易所自身的应用程序代码一同加载。

Mozilla的浏览器文档解释称，直接嵌入页面的脚本可以以该页面的访问权限运行。供应商作为性能监控的商业角色本身并不施加浏览器限制，将其代码局限于测量加载时间。

置于单独隔离框架中的内容具有不同的边界。包含在交易应用程序中的脚本不会仅仅因为由另一家公司提供而获得这种隔离。

10月份的调查将这一区别置于金融应用程序之内。Polymarket的页面在显示余额和持仓的同时，连接到准备订单和请求签名的服务。

该公司尚未公布获准在该环境中运行的外部代码的完整清单。其事件声明确认了供应商被入侵，但未描述集成之前所进行的权限审查。

浏览器提供了旨在限制这种暴露的控制措施。Mozilla 的子资源完整性文档描述了一种方法，用于将下载的脚本与网站指定的加密指纹进行核对。

如果下载的文件与预期指纹不符，浏览器会拒绝执行它。因此，供应商若更改文件，就需要网站批准新版本，才能在该检查下运行。

这种保护取决于网站是否为相关资源部署了该措施。Polymarket 的公告没有说明受影响的集成是否使用了此类检查，也没有公布关于为何所获取的代码被接受的调查结果。

Mozilla 的内容安全策略指南描述了另一套针对可执行脚本的控制措施。策略可以限制来源，或使用 nonce 和哈希来授权特定代码。

对供应商主机的许可本身并不能验证该主机提供的每一个文件。主机可以保持不变，而从其提供的内容却会发生变化。

这些控制措施在代码于浏览器中运行之前或运行之时发挥作用。它们与交易客户端提交订单后检查订单的交易所监控有着不同的目的。

交易权限与提款权限具有不同的限制

Polymarket 自己的文档描述了限制被委托签名者所能执行操作的努力。其测试版会话密钥系统允许钱包所有者在指定限额内授权一个单独的密钥用于交易。

文档称会话密钥不能提取资金。其权限可以覆盖中央订单簿、组合交易或受支持的交易场所，并且所有者会在规定期限内授予授权。

交易权限仍然允许改变投资组合的活动。这一区别对于报告持仓在未经其同意的情况下被出售的客户很重要，即使任何收益尚未离开钱包。

Polymarket 尚未确认测试版会话密钥系统是 10 月份的入口点。研究人员描述了寻找应用程序可用的实时客户端和签名者的尝试，而该公司尚未解释每个受影响账户中成功使用了哪些权限。

该平台的订单生命周期指南描述了订单在运营方验证和匹配之前进行链下签名。检查涵盖签名、账户余额和授权额度等条件。

随后通过区块链合约进行结算。记录区分了已匹配订单与结算已确认或已失败的订单。

有效签名是该流程的一部分，但它并不能证明查看屏幕的人想要进行该交易。据报道的攻击试图利用通过准备这些请求的应用程序可用的授权。

公开调查结果并未证实每种钱包类型都允许静默签名，也未证实每次尝试的操作都成功了。Polymarket 支持多种钱包安排，而其公司调查尚未将受影响账户与这些安排对应起来。

该公司 6 月的事件已经暴露了对外部网站代码的类似依赖。其早先的前端漏洞涉及通过受感染的依赖项向部分访客投放的恶意脚本。

10 月的应对再次需要在平台层面采取行动：交易限制、暂停中继器操作以及修复受影响的集成。客户各自的交易设备并未让他们能够控制网站选择加载的软件。

退款必须同时处理交易和缺失的资金

Polymarket 已承诺让受影响用户恢复原状，但其状态通知并未说明将如何对未经所有者批准而平仓的头寸进行估值。恢复现金余额与恢复未平仓事件头寸可能产生不同的账户持仓。

合约被卖出的交易者可能原本打算持有这些合约，直到选举结果或其他事件得到解决。销售记录显示了这些合约在当时的成交价格，而它们的后续市场价值在赔付之前可能发生变化。

该公司尚未说明是替换合约、采用争议销售发生前的即时价格，还是适用其他估值方法。它也未宣布用户必须等待标的事件解决。

Polymarket 的交易记录和钱包历史提供了该账户的不同部分。订单历史记录头寸变化，而区块链记录可以显示抵押品或代币的后续转移。

仅凭接收钱包的余额无法识别每个客户的损失。单个索赔可能涉及一系列交易、转账以及随后通过其他地址进行的资金流动。

早前的六月调查追踪了资产从 Polygon 通过跨链桥进入以太坊上的 ETH。随着分析师追踪到更多活动，其修订后的损失估计在最初退款公告后有所上升。

Polymarket 尚未公布十月份的索赔截止日期或付款时间表。其国际支持服务仍与美国交易所分开，事件通知未将美国交易所列为受影响方。

该平台于 10 月 29 日 19:05 UTC 恢复交易。其公开通知记录该服务事件已解决，同时保留了对受影响客户进行赔偿的承诺。

值得关注的事项

技术发现：该脚本成功使用了哪些账户权限，以及哪些钱包类型受到影响。

供应商控制：该公司关于外部软件如何进入交易应用程序的调查结果。

损失核算：公司对受影响账户和未经授权交易进行对账的总计。

退款条款：Polymarket 如何对已售出头寸进行估值，以及客户何时获得赔偿。

常见问题