10 月 29 日，Polymarket 因一家外部服务商发生安全事件而暂停交易，目前其国际平台已恢复交易，公司表示在此次事件中蒙受损失的交易者将获得全额赔付。区块链分析公司 Bubblemaps 估计，约 700 名用户的约 270 万美元资金被盗，但 Polymarket 尚未确认该数字。

研究人员已将此次攻击与植入某网站性能监控服务中的恶意代码联系起来。Polymarket US——该公司面向美国用户、受联邦监管的平台——未受影响。

交易暂停经过

Polymarket 的应对首先是将交易所切换为仅取消模式，允许客户撤回现有订单，同时停止处理新交易。公司还暂停了代用户提交交易的服务，随后披露其一家第三方服务商已被入侵。

在公司调查期间，交易暂停持续了数小时。随后，Polymarket Traders 的 X 账号发布更新，确认交易已全面恢复。

据公司介绍，被入侵的供应商总部位于英国。Polymarket 表示其自身网站未被入侵，并已通知英国执法部门。这一事件表明，即使平台自身基础设施未被触及，其日常运营也可能通过供应商而受到干扰。

此次攻击未影响 Polymarket US，即面向美国用户、作为受联邦监管交易所运营的较新平台。其旗舰国际平台基于加密货币，在美国及其他多个国家被禁用。

追踪被盗资金

Bubblemaps 追踪到资金从数百个充值钱包转入其认定属于攻击者的一个地址。其图示显示，主路径上有 712 个充值钱包和约 271 万美元资金流经。

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

该公司表示，被盗资金已兑换为 Polygon 的原生代币 POL，并转移至多个地址。其还追踪到了流向 Ethereum 的转账。

攻击方式

研究人员将可疑代码与一家网站性能监控服务联系起来。此类工具通常帮助企业了解其网站的加载和运行情况。通过供应商代码而非公司自身系统入侵的事件在业内通常被称为供应链攻击，嵌入的第三方脚本长期以来一直是网络平台常见的攻击载体。据研究人员介绍，该恶意代码访问了用户的交易会话，并发起了将资产移出其账户的操作。具体攻击手法仍在调查中。

在 X 上，多位知名交易者表示自己蒙受了损失。Polymarket 拒绝向 WIRED 透露受影响交易者的数量或损失金额。

以往事件与 10 亿美元融资

这并非该平台首次遭入侵。2026 年 6 月，另一起事件导致受影响交易者损失超过 200 万美元。按 Bubblemaps 的估计，此次事件的损失总额将超过该数字。自 2020 年上线以来，该公司多次陷入争议，包括涉嫌内幕交易的案件并导致逮捕；相关案件中的嫌疑人已作无罪辩护。该平台允许用户对现实世界事件的结果进行交易。

2026 年 8 月，Polymarket 在由 Donald Trump Jr. 为合伙人的 1789 Capital 领投的融资轮中筹集了 10 亿美元。公司目前估值为 210 亿美元。

承诺退款，细节待定

Polymarket 已承诺全额赔付，但尚未公布时间表或理赔流程。用户正在等待有关哪些账户符合条件、损失如何计算以及资金何时返还的细节。悬而未决的问题——具体攻击手法、最终损失统计以及赔付机制——目前仍有待 Polymarket 的持续调查，英国执法部门也已获通知。预计 Polymarket 团队将发布对该事件的完整分析。

来源：Blockonomi