资金费率
资金费率热力图
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
账号安全
资讯收藏
自选币种
Polymarket 钱包被盗证据、DebugBear 漏洞利用及资金追回
Polymarket 的钱包被盗事件始于 2026 年 10 月 29 日。在短短约一小时内，数百名交易者的账户资金在未经所有者批准的情况下被转走，Polymarket 方面将责任归咎于受 compromised 的第三方提供商。
Polymarket 是一个预测市场平台，交易者可以在这里买卖与真实世界事件相关的份额。其国际版平台运行在 Polygon 区块链上，因此每一笔转账都会留下公开记录。这些记录使得本案的研究变得相对容易。初步估计损失金额在 250 万美元至 273 万美元之间。
什么是 Polymarket，它如何持有交易者资金？
Polymarket 平台允许交易者对选举、体育比赛和经济数据等事件进行押注。每份份额的支付取决于相关事件是否发生。余额存储在与 Polygon（一个公共区块链）关联的账户中，该区块链记录了每一笔转账。官方的 Polygon 区块链浏览器可以显示钱包地址和转账记录，但不会显示背后的用户名。
Polymarket 钱包被盗究竟意味着什么？
钱包是存储批准转账所需密钥的软件。加密钱包被盗（Crypto Wallet Drain）是一种攻击手段，通过在没有所有者真正同意的情况下获取转账授权来清空钱包。
本案的情况不同于常见的种子短语被盗或虚假网站钓鱼攻击。研究人员在该脚本中未发现用于窃取密码、种子短语或私钥的代码。它复用了已登录交易者已经打开的访问权限。这一细节使 Polymarket 钱包被盗事件区别于标准的网络钓鱼攻击。由于真正的网站本身提供了恶意代码，因此不需要复制品网站。
监控脚本是如何成为攻击路径的？
Polymarket 网站加载了一个来自 DebugBear 的监控脚本。DebugBear 是一家英国公司，负责跟踪页面速度和访客体验。此类脚本在每个页面上运行，并享有与网站自身代码相同的信任度。
DebugBear 表示，攻击者通过域名注册商破坏了其 DNS 记录。DNS 类似于互联网电话簿，将网址匹配到服务器。在此更改之后，脚本地址保持不变，但由不同的服务器响应。被替换的文件不再测量页面速度，而是寻找活跃的 Polymarket 会话。
Polymarket 钱包被盗时间线：记录显示了什么？
研究人员根据公开的 Polygon 数据和站点构建记录重建了事件序列。所有时间均为攻击当天的 UTC 时间。
- 17:10 出现首次未经批准的提款。
- 17:25 主要盗取浪潮开始。
- 17:59 构建数据显示监控脚本已被移除。
- 约 18:05 启动仅取消模式，中继器（Relayer）暂停。
- 18:10 主要盗取浪潮的最后一次盗取。
- 约 19:00 交易恢复。
“仅取消模式”允许交易者取消挂单，但阻止新交易。正如 Polymarket 官方文档所解释的那样，中继器是代表交易者向区块链发送签名转账的服务。
尽管脚本在 17:59 被移除，但盗取行为一直持续到 18:10。似乎暂停中继器而非删除文件才停止了资金流出。
被盗资金在 Polymarket 钱包被盗后去了哪里？
链上交易记录统计显示，共有 737 个账户发生了 985 次提款，总计约 273 万美元。其他追踪器报告有 710 个钱包，损失金额为 250 万至 270 万美元，因此总数取决于统计方和统计时间。
其中一个攻击者钱包（在脚本中硬编码为备用接收地址）收集了约 2860 万个 POL 代币，价值约 264 万美元。POL 是 Polygon 的原生代币。随后，这些资金被拆分到三个新钱包中。在 Polymarket 钱包被盗事件中，攻击者还开设了一个新账户，以兑现从 33 个账户中提取的预测份额。将资金拆分到新钱包是加密货币盗窃追踪中的常见步骤。
在 30 起盗取案例的样本中，每次授权都是在创建后三到七秒内使用的。这种速度指向自动化操作，而非手动点击。
Polymarket 如何应对，以及退款情况如何？
Polymarket 停止了国际交易，移除了脚本，清除了缓存，并重置了登录会话。独立的美国平台未受影响，案件已移交英国当局处理。
截至 10 月 30 日，约 726 个受影响钱包中的 689 个（约 95%）已获得全额退款。Polymarket 表示总共将返还 390 万美元。这包括与攻击相关的 270 万美元，以及暂停期间造成的约 120 万美元损失。
在 Polymarket 钱包被盗事件后，该公司还计划对外部脚本实施更严格的控制。其中包括更严格的内容安全策略（CSP）规则、固定版本和沙箱化。如加密货币交易所安全案例所示，此类措施的重要性不仅限于单一平台。
为什么安全检查未能发现 Polymarket 钱包被盗？
内容安全策略（CSP）是一组浏览器规则，限制页面可以从何处加载代码。由于恶意文件来自经过批准的供应商地址，这些规则并未检测到异常。
子资源完整性（Subresource Integrity, SRI）是一项浏览器功能，可拒绝内容与存储指纹不匹配的文件。它本可以捕获此次替换，但很少有网站在监控工具上使用此功能。
链上监控也面临困难。每一笔转账都带有来自真实会话的有效签名，因此在区块链层面，Polymarket 钱包被盗看起来是经过授权的。
这是今年首次发生的此类事件吗？
并非如此。2026 年 6 月，一个被劫持的供应商脚本从不到 15 个账户中盗取了约 300 万美元，当时也承诺了退款。
分析人士认为，重复发生的事件表明供应商监管薄弱，而非运气不佳。Polymarket 尚未说明 6 月之后做出了哪些改变。交易者可以通过基本的加密钱包安全习惯来降低风险，例如审查会话并撤销未使用的授权。
Polymarket 钱包被盗中仍有哪些未确认事项？
- 入侵方式：DebugBear 表示注册商破坏了其 DNS 记录，但攻击者如何获得该访问权限的细节并未公开。
- 暴露窗口：替换文件首次上线的时间未知，因此受影响用户数量是基于钱包活动估算的。
- 最终损失总额：追踪器显示有 710 至 737 个账户，损失金额为 250 万至 273 万美元。
- 代码行为：研究人员在未运行脚本的情况下对其进行了研究，因此调查结果仅显示意图，而非证明每笔转账都成功。
结论
Polymarket 钱包被盗事件表明，对单个供应商脚本的信任如何转化为对用户账户的交易控制权。智能合约未被攻破，记录显示这是一个持续约一小时的高速自动化过程。
退款覆盖了大多数受影响的钱包，但入侵方式、暴露窗口和最终损失总额仍有待确认。官方技术 findings 将是下一个关注点，因为更广泛的加密货币安全事件通常遵循相同的供应商信任模式。
