Polymarket通过第三方提供商遭受攻击：用户现在需要关注什么_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Polymarket通过第三方提供商遭受攻击：用户现在需要关注什么

2026-11-03 05:51:48

Polymarket 国际平台因异常提款暂停交易，承诺全额赔偿

2026年10月29日，预测市场平台 Polymarket 的国际版因用户报告出现未经授权的资金提取而暂时停止交易。此次攻击利用了平台的外部服务提供商作为入口，从而入侵了部分用户账户。值得庆幸的是，平台底层的智能合约交易合同本身未受影响。公司在当天恢复了交易，并承诺向所有受影响的用户提供全额赔偿。

事件核心：供应商遭劫持而非代码漏洞

Polymarket 是一个预测市场平台，用户在此买卖未来事件结果的份额，价格反映了该事件发生的预估概率。结算过程通过区块链上的智能合约执行，这些程序无需中介机构即可自动执行赌注和支付。

据公司称，问题并不出在这些智能合约上。相反，攻击者获取了一个嵌入在平台网站中的第三方服务提供商的控制权。控制此类服务的攻击者可以在不触碰交易合约任何代码的情况下，篡改用户在浏览器中看到和确认的内容。

公司尚未公开涉事提供商的名称。据路透社援引匿名消息源报道，该服务涉及网站速度监控；福布斯则将其描述为网站性能监控平台。Polymarket 尚未证实这一归属关系，因此在官方确认前，这仍属于二手信息。

损失估算：约 265 万美元的 POL 代币

目前尚无官方公布的准确数字。Polymarket 自身既未公布损失规模，也未披露受影响账户的数量。观察人士给出的数据存在差异，以下范围仅供参考：

据多家贸易媒体引用的研究公司 Arkham 分析，损失金额约为 265 万美元，以 Polymarket 结算所在的 Polygon 网络代币 POL 形式被转走。
数据服务 DeFiLlama 列出的金额略低于 270 万美元。
Crypto Economy 报道称损失为 265 万美元，且交易已恢复。

关于受害者人数的报道分歧更大。一份报告显示近 1,000 个账户共损失约 260 万美元，另一份报告则显示不到 15 个账户损失约 300 万美元。两者不可能同时成立，且指向不同的解读：广泛的流出可能意味着面向所有访问者的界面被操纵，而狭窄的流出则暗示少数大账户受袭。截至 10 月 30 日上午，哪种情况属实仍待确认。

仅取消模式：交易的临时限制

Polymarket 将交易置于一种特殊状态：不允许下新单，但允许取消现有订单。因此，这并非完全关闭。这种“仅取消”模式是交易所应对中断的标准工具：它冻结资金流入，同时允许希望退出的用户撤资。

关于中断持续时间的报道不一，从半小时到下午较长时间的停顿不等。确定的是，平台在当天即重新运行，公司在调查继续进行的同时宣布所有系统恢复正常。

赔偿与起诉：公司的承诺

Polymarket 表示已修复问题，并将全额赔偿所有受影响的交易者。据路透社报道（福布斯引用），公司已将此案移交给英国执法部门。

承诺不等于付款。如果您受到影响，对于一家未在欧盟持有执照的平台，您无法获得德国监管机构可执行的索赔权。最可靠的证据仍是您自己的记录：未经授权提款的时间、区块链上的交易 ID 以及您与提供商的沟通记录。

历史背景：春季以来的第三次事件

此案并非孤立事件。2026 年 6 月 28 日，该平台曾发生另一起事件，当时约有 310 万美元被盗；当时的评估指出，攻击同样始于某个供应商。这一发现至关重要：数月来，攻击一直来自平台周边的接入点，而非核心系统。界面、API 和嵌入的第三方服务构成了位于坚实结算层之上的脆弱外层。

第三方提供商：外部代码为何存在于交易站点

几乎所有主要的交易站点都嵌入了其自身不运营的服务：错误日志记录、加载时间测量、使用统计、聊天窗口、支付模块等。每个服务都会向用户浏览器注入代码，拥有与站点本身相同的权限。

这种攻击路线被称为“供应链攻击”，即攻击目标并非直接针对靶标，而是针对其供应商。这种方式极具吸引力，因为单个受感染的提供商可同时让攻击者访问数十个站点，且对用户几乎不可见，因为地址栏、证书和品牌标识均保持不变。

近期案例中也有类似模式。2026 年 10 月底，Coinbase 某服务提供商发生数据泄露，余额未受影响，但泄露的联系方式随后被用于网络钓鱼。模式相同：遭受攻击的是交易所的供应商。

预测市场与欧盟许可：德国用户的框架

在欧洲，预测市场处于法律模糊地带。根据其设计，它们可能属于金融工具、赌博或不属于任何类别，这一分类决定了哪个监管机构负责。欧盟《加密资产市场监管条例》（MiCA）涵盖的是加密资产交易，并不自动涵盖对事件的投注。

在实践中，这意味着通过未在欧盟获牌照的平台进行交易的用户需自行承担默认风险。银行适用的最高 10 万欧元存款保险在此不适用，向巴Fin（德国联邦金融监管局）投诉无德国执照的提供商也不会产生可执行的结果。相反，通过欧盟持牌提供商交易至少在争议中有监管机构作为后盾。

平台余额：托管与交易账户的区别

在此类案件中，区别决定了损害程度。如果余额位于交易账户中，提供商持有密钥并维护您债权的内部记录。如果余额位于您自己的钱包中（存储私钥的程序或设备），控制权仍归所有者所有。

在 Polymarket，用户通常将自己的钱包连接到平台。这是较好的方式，但并非绝对安全，因为连接即代表授权。一旦授予，应用程序便可在一定程度上处置您的资金，而当界面被操纵时，这种权限正是攻击目标。

钱包连接权限：第三方提供商的切入点

在实践中，钱包连接不仅包括显示余额，还包括对特定代币的批准，允许合约移动一定数量的代币，通常没有上限且无过期日期。去年授予的无限期批准至今仍有效。因此，在此类事件后最重要的步骤是撤销旧的批准，甚至在提取余额之前进行。如果您从未做过此操作，您可能随身携带着十几个开放的权限，其中大多数您早已忘记。

杠杆与清算：交易暂停对持仓的影响

杠杆交易意味着交易者使用借入资金持有比本金头寸更大的仓位；如果价格越过某一阈值，仓位将被强制平仓，这一点称为清算。

交易暂停在此处产生双重影响。如果市场波动时您无法追加保证金或卖出，您将失去对自己本金的控制。在预测市场上，头寸通常不带杠杆运行。而在衍生品交易所则不同，在那里，“仅取消”模式是限制损失与在最差价格下强制平仓之间的区别。如果您进行杠杆交易，应了解提供商在书面文件中规定的中断规则。

持有期与税务：赔偿支付在德国引发的税务问题

从税务角度来看，本案较为复杂，因为它混合了多种交易。根据主流观点，加密货币资产的盗窃不被视为销售，因此不会触发应税收益；能否申报损失存在争议，取决于个案情况。

另一方面，由提供商自愿支付的赔偿可能被视为资金返还，如果以不同于丢失代币的其他代币支付，则构成具有独立持有期的兑换。私人处置的一年持有期将从收到金额之日起重新开始计算。对于您的记录而言，这意味着分别记录流出的日期和金额，以及赔偿支付的日期和形式。这不是税务建议，对于较大金额，此事应交由专业人士处理。