Polymarket因第三方供应商遭入侵暂停交易 用户账户被清空

国际平台全面停牌

Polymarket周四宣布,因其使用的第三方服务供应商遭到入侵,国际平台(Polymarket.com)暂停全部交易,多名用户报告账户资产被清空。公司状态页显示,影响该平台的问题已经定位并修复,被入侵的供应商已移交相关执法部门,受影响用户将获得“完整补偿”。交易所没有披露受波及的账户数量,也没有说明损失总额。此次暂停只涉及基于钱包的国际服务,用户在该平台以自托管账户交易预测市场;持有美国商品期货交易委员会(CFTC)牌照、单独受监管的美国交易所未被列为受影响平台。一个由社区运营的账号在状态页更新后不久,于X上发布了几乎一致的声明,措辞与官方口径完全吻合。截至发稿,公司仍未给出恢复完整交易的时间表。

@PolymarketTrade · X 帖子

X上发布了几乎一致的声明.

在 X 上查看

18:05进入仅撤销模式

状态页于周四18:05(UTC)首次标记该事件,将其定性为预测交易接口的重大故障。该接口是撮合预测市场成交的订单簿。当时交易所进入仅撤销模式:用户只能撤销已有订单,无法提交新订单或成交,代用户提交链上交易的中继服务也一并暂停。账户登录、websocket行情、持仓数据以及Polygon结算全程保持运行。大约32分钟后,即18:37(UTC),页面状态从“调查中”更新为“已定位”,并将故障归因于被入侵的第三方供应商。撮合引擎停摆期间,平台唯一放行的订单类型是撤销未成交订单,仍持有风险敞口的交易者因此无法离场。

用户损失与268万美元指控

在公司发布任何确认之前,X平台上已经出现资产被清空的报告。一位署名Car的交易者在X发帖称,其账户被盗80万美元,一位朋友的账户损失60万美元,并表示他的全部持仓均已被卖出。另一个名为StarPlatinum的账号则追踪到一个疑似收款钱包:该钱包自17:05(UTC)开始接收资金,17:25余额达到41.2万美元,17:50升至202万美元,并在18:05达到268万美元的峰值;该账号同时估算,攻击者累计囤积了由用户存款余额兑换而来的2860万枚POL。StarPlatinum还识别出一个存款钱包工厂代理合约,并指认Relay的赞助交易基础设施涉嫌参与其中。上述数字均未经证实:公司声明没有提及受害人数、损失总额或攻击者地址,也没有公布任何交易哈希。

@CarOnPolymarket · X 帖子

X发帖.

在 X 上查看

六月前端攻击与赔付先例

本次事件与6月的一起事故高度相似:当时一家第三方供应商被攻破,恶意脚本进入Polymarket前端并影响部分用户。早期链上分析显示该次损失约为294万美元,涉及至少11个钱包,后续估算一度升至310万美元;资金以Polygon上的pUSD被转出,经Relay兑换后跨链至以太坊并换成ETH。公司当时表示已移除受影响的依赖组件,并将向受影响客户全额赔付。几天前,同类平台也遭遇类似入侵:Predict.fun在10月27日的声明中确认发生约40万枚USDT的未授权转账,追查到一家外部托管的接口文档网站可能被攻破,并承诺全额赔付及发布详细的复盘报告。更早的12月,一起涉及一键登录服务的事件同样指向同一个薄弱环节:第三方依赖。

反复出现的第三方攻击面

约十个月内接连发生三起事故,且全部经由供应商依赖而非链上合约发动,暴露出预测市场技术栈的结构性弱点。Polymarket部署在Polygon这一二层网络上,并早已从早期的自动做市商模式转向中央订单簿,但攻击面恰恰位于托管前端、中继服务和存款钱包基础设施之中,而这些环节不在任何合约审计覆盖范围内。历次事故中,资金都在用户签署恶意请求的瞬间流出,损失在链上确认时即已固化。公司的“修复加赔付”态度一贯,但此次依然没有公布交易哈希、经确认的损失数字,除了点名第三方供应商之外也未给出技术层面的根因。在更多细节落地之前,活跃用户仍应将闲置资金转入冷钱包,并了解硬件钱包的工作原理,这是眼下最实际的防御手段。