Polymarket 遭攻击：第三方脚本被入侵致 737 个钱包损失 270 万美元
要点速览
- •被入侵的 DebugBear 脚本能够访问已通过身份验证的会话，并通过 Polymarket 合法的基础设施触发未授权交易和提现。
- •调查人员将此次攻击与 737 个账户约 273 万美元的损失关联，资金被兑换为 POL 并在多个钱包之间转移。
- •Polymarket 在移除受影响的依赖后恢复了国际交易，其独立的美国平台据报告未受影响。
- •Polymarket 已承诺全额补偿，但尚未提供付款时间表，也未确认可能追回的被盗资金数额。
- •该事件凸显了基于浏览器的加密货币平台中第三方网站集成所带来的安全风险。
Polymarket 是一个用户可对现实世界事件结果进行交易的预测市场平台。10 月 29 日，该平台发生安全事件：攻击者入侵了一家第三方监控服务并向平台网站注入恶意代码，从数百个用户钱包中转出约 270 万美元。
此次攻击通过 DebugBear 针对 Polymarket 的国际交易界面。DebugBear 是一家网站性能监控服务商，其被入侵的 JavaScript 被用于执行未授权交易。区块链分析确认了 737 个受影响账户，合计损失约 273 万美元，资金通过 Polymarket 现有的提现基础设施转出。
Polymarket 暂停了交易，停用了交易处理功能，并在恢复运营前移除了受影响的集成。该公司确认了此次安全事件，已将此事移交英国执法部门，并承诺向所有受影响的交易者进行补偿。此次事件并未涉及 Polymarket 智能合约中已确认的漏洞，而是利用了通过受信任第三方服务交付的软件。
被入侵的 DebugBear 脚本转走数百个钱包资金
此次攻击源于通过 DebugBear 真实用户监控（RUM）基础设施分发的恶意 JavaScript。该服务被网站用于跟踪性能和用户活动。安全研究人员发现，被入侵的脚本包含钱包转取功能，能够与已通过身份验证的 Polymarket 交易会话交互。恶意代码一旦加载到用户浏览器中，便可查看账户余额、识别未平仓位并发起未授权的资产转移。
网站通常会加载用于分析、广告和性能监控的第三方脚本，这类代码会在访问者的浏览器中与网站自身代码一同执行。当供应商的脚本被入侵时，恶意载荷可以波及所有嵌入该脚本的网站——这种模式通常被称为软件供应链攻击。
该脚本试图清算预测市场仓位，并利用 Polymarket 现有的交易基础设施将加密货币 holdings 转移至攻击者控制的地址。与常见的智能合约攻击不同，此次攻击无需破解底层区块链合约，而是在通过网站前端获得访问权限后，滥用了合法的交易和提现功能。
DebugBear 承认了影响其基础设施的安全事件，并敦促使用其监控服务的客户从自己的网站中移除嵌入的 JavaScript。Polymarket 随后移除了被入侵的依赖项，其生产版本显示有一次更新专门针对 DebugBear 监控集成。
该事件与 6 月的一次攻击极为相似。当时另一项被入侵的第三方依赖使恶意代码触及平台前端，导致 Polymarket 用户损失约 294 万美元。两起事件都表明，即使平台的核心智能合约正常运行，外部软件集成仍可能使用户资产面临风险。
区块链分析追踪到 737 个账户的 273 万美元资金流向
10 月 29 日的交易记录显示，在 UTC 时间 17:10 至 18:10 之间，737 个 Polymarket 账户遭到未授权提现，金额约 273 万美元。调查人员在该时间窗口内追踪到 985 笔独立的转取交易，其中最集中的时段为 UTC 17:25 至 18:10。活动高峰期，一分钟内记录的交易多达 40 笔。四个账户约占已确认损失的 43%，另有数百个较小的钱包也受到影响。
这些转账通过 Polymarket 合法的中继（relayer）基础设施进行——该基础设施代表用户提交交易——并使用了有效的交易授权。被盗资产随后被兑换为 Polygon 的原生加密货币 POL——Polygon 是承载 Polymarket 交易活动的网络——随后分散到更多钱包中。一个主要接收地址 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 在事件期间累积了约 2860 万枚 POL。
攻击者随后将资金转移到另外三个钱包，部分资产通过跨链桥接服务转向以太坊。截至 UTC 19:49，被追踪资金中约 217 万美元仍留在 Polygon 上，其余赃款已开始在多个网络间转移。
此次链上调查还发现，在 Polymarket 宣布问题已修复之后，UTC 19:11 又发生了一笔约 11 美元的提现。该交易涉及一个此前已受攻击影响的账户，引发了对所有恶意授权是否已被立即清除的质疑。Polymarket 尚未独立确认 273 万美元的损失估计或受影响账户的报告数量。
Polymarket 恢复交易并承诺全额补偿
Polymarket 于 UTC 18:05 左右首先将其国际交易所切换为仅取消模式，允许用户取消现有订单，同时阻止新交易并暂停中继服务。平台识别并移除了被入侵的集成，随后于 UTC 18:37 宣布漏洞已被修复。交易于 UTC 19:05 左右恢复，中断时长约为一个小时。另据报告，独立的 Polymarket 美国平台未受影响。
Polymarket 已承诺补偿所有受影响的交易者，但尚未披露符合条件的用户数量、补偿时间表，也未说明被盗资金是否已有任何被追回。该公司还将此事件移交给了 DebugBear 所在地的英国执法部门，调查人员正在查明该监控服务商的基础设施是如何被入侵的。
加密平台安全面临艰难时期
此次事件使加密货币平台安全的艰难时期雪上加霜。同一天，Binance 确认了一起 63 亿美元的安全事件，因多链上的未授权转账，约 30 亿美元资产已被冻结。目前没有证据表明两起事件存在关联，且二者的疑似攻击方式差异很大。
对 Polymarket 而言，此次最新攻击再次引发了对第三方依赖以及基于浏览器的加密货币交易安全保护的质疑。即便攻击者无法直接获取用户私钥，底层智能合约也没有漏洞，通过受信任的网站集成交付的恶意代码仍能够触发未授权的交易和提现。
Polymarket 已恢复正常交易，并承诺承担用户损失，但对于 DebugBear 被入侵的完整技术解释、最终财务影响以及追偿流程，目前仍无定论。
