Polymarket 承诺向用户退款总计390万美元。2026年10月29日，攻击者利用遭入侵的第三方脚本将加密货币从客户钱包转走。该预测市场平台确认，黑客利用外部供应商提供的性能监控脚本，从受影响账户执行了未授权交易。

在10月30日发布的安全更新中，Polymarket 详细说明了补偿方案，包括270万美元的攻击相关损失赔偿和额外的120万美元交易中断赔偿。据该公司称，95%的受影响钱包已获得全额退款。

遭入侵的供应商脚本被用于攻击活跃会话

此次入侵源于一家外部技术供应商提供的性能监控脚本。攻击者用恶意代码替换了合法脚本，旨在利用 Polymarket 国际平台上的活跃交易会话。由于用户仍处于登录状态，注入的代码得以执行未授权交易：攻击者在未经账户持有人授权的情况下卖出交易仓位，并从关联的加密货币钱包转出资金。

路透社确认涉事供应商为 DebugBear，一家网站性能监控公司。该供应商承认发生安全事件，并建议客户在调查期间移除其监控代码。这一入侵途径属于典型的网络供应链攻击类型：第三方脚本运行在受信任的页面内，2018年 Magecart 针对英国航空和 Ticketmaster 的刷卡盗码攻击便采用了类似手段——不过那些攻击窃取的是支付卡数据，而此次攻击瞄准的是登录状态的交易会话和关联的加密货币钱包。

在发现可疑活动后，Polymarket 暂时暂停了交易和交易处理。随后，平台清除了恶意脚本、清空了网站缓存，并重置了活跃登录会话，之后才恢复正常运营。

赔偿范围超出被盗资金

退款计划涵盖的不仅是攻击期间被直接转走的资产。Polymarket 还承诺赔偿因交易临时暂停而蒙受财务损失的交易者。

额外的120万美元用于赔偿与交易中断期间受影响仓位相关的合格损失，包括市场在暂停期间关闭时价值下跌的仓位，以及交易恢复后完成的部分交易。符合条件的用户将根据区块链记录和交易活动自动获得赔偿，认为退款金额有误的客户可申请复核。由于赔付金额依据链上记录和交易数据计算，而非人工申诉流程，对金额有异议的用户须通过该复核途径进行更正。

安全整改针对第三方风险

此次事件凸显了集成于加密货币交易平台的外部软件所存在的安全漏洞。即使核心区块链基础设施保持正常运转，遭入侵的网站组件也可能使用户蒙受重大财务损失。实际上，平台的攻击面不仅包括智能合约和密钥管理，还包括供应商提供的前端代码。

Polymarket 表示，正通过更严格的脚本验证、额外的监控以及对第三方代码的更严格限制来加强安全控制。该公司已将事件移交执法部门，并继续追查攻击者。

390万美元的赔偿承诺是对此次入侵的重大财务回应，也凸显了在预测市场吸引更多参与者之际保护活跃交易会话的重要性。后续值得关注的包括：尚未获得全额退款的那约5%受影响钱包的退款进展、用户申请复核后的调整结果，以及执法部门移交和 Polymarket 与 DebugBear 持续调查的进展。

来源：CryptoMeter io