Polymarket 于 2026 年 10 月 29 日重新开放其国际交易所进行交易，此前一个遭入侵的第三方监控脚本迫使其短暂关闭。该平台停止了新订单，暂停了中继（relayer）活动，并承诺向客户退还资金。该公司独立的美国平台未受影响。

一个能够侵入实时交易会话的监控脚本

网络安全公司 Hudson Rock 发现了一个嵌入在 DebugBear 真实用户监控（RUM）脚本中的 15,187 字节恶意载荷。RUM 脚本是一种常见的网站性能工具：网站运营者将其嵌入，使其在每个访客的浏览器中运行，以衡量页面在真实环境下的加载情况。该代码可以访问已保存的账户信息，识别交易者使用的已授权客户端，并尝试出售仓位或转移代币。

Polymarket 的网站代码随后显示 DebugBear 脚本已被移除，这表明攻击利用的是网站上运行的代码，而非平台智能合约的漏洞。Hudson Rock 在其 InfoStealers 博客的报告中发布了调查结果。

仅取消模式，随后于美东时间下午 3 点恢复交易

Polymarket 于 2026 年 10 月 29 日将国际交易所置于仅取消（cancel-only）模式。其状态账户表示某提供商遭入侵，案件已移交英国执法部门。

当天美东时间约下午 3 点，交易所恢复交易。该公司还宣布了退款政策。根据 CNBC 的报道，损失低于 10,000 美元的客户预计将在 2026 年 10 月 30 日前收到退款。损失超过该金额的客户必须先签署免责声明表。尽管 Polymarket 已传达其退款计划，但尚未确认任何退款已发放。

DebugBear 要求客户移除其代码

DebugBear 也承认了这一安全问题。2026 年 10 月 29 日，该公司敦促客户在专业响应人员进行调查期间移除其监控代码。

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

这一警告凸显了一个更广泛的担忧：第三方脚本可以在合法网站内运行，一旦遭入侵，它们可能访问用户的活跃浏览器会话。由于该公告涵盖任何运行 RUM 嵌入代码的网站，这也突显出一个遭入侵的供应商脚本可以同时暴露众多互不相关的网站。

初步损失估计与确认损失

目前财务损失尚不清楚。据 CNBC 报道，Betting Intelligence 和 Polysights 追踪到 2026 年 10 月 29 日至少 270 万美元的提款，涉及 710 个钱包。与此同时，Hudson Rock 在一个后备接收地址发现约 219 万美元，但该余额并不能确定被盗金额。Polymarket 尚未确认总损失。

两次更早的供应商事故，原因并无关联

这并非 Polymarket 第一次遭遇与供应商相关的安全问题。2026 年 6 月，Halborn 和 TechCrunch 报道了一起恶意脚本攻击，据报道从至少 11 个钱包中转出约 300 万美元。Polymarket 当时也曾承诺退款。

更早的 2025 年 12 月，另一起身份验证提供商入侵事件影响了用户账户。Cryptopolitan 和 CertiK 均记录了该事件。

这三起事件均涉及外部提供商。然而，没有证据表明它们与同一攻击者或根本原因有关联。

反复出现的供应商风险对行业意味着什么

这些反复发生的事故正值预测市场吸引更多交易活动之际。一份基于 Artemis 的报告记录，2026 年 9 月受追踪市场的交易量达 764.6 亿美元，其中 Polymarket 占 131.2 亿美元。这些数字代表的是交易活动，而非持有的资产。

这种增长使安全担忧更加突出。CertiK 警告称，将传统网络服务与区块链技术相结合的平台仍可能存在中心化漏洞。此类风险也可能令机构投资者望而却步。据 Jefferies 称，对冲基金表现出兴趣但仍然谨慎，流动性、合规和声誉方面的担忧持续阻碍其入场。

与此同时，KPMG 强调了供应商、经纪商、交易所和清算所的不同职责。受美国监管的交易所必须满足监控、系统保障和参与者保护要求。然而，这些规则并不自动适用于 Polymarket International。

对 Polymarket 而言，恢复交易只是挑战的一部分。更大的考验在于它能否管理来自外部提供商的风险，并重拾用户的信心。近期的观察指标包括：低于 10,000 美元的退款能否在公布的 10 月 30 日之前到账、针对更大金额索赔的免责声明表流程如何展开、该公司是否确认总损失数字，以及英国执法部门移交和正在进行的调查会带来什么结果。