2026 年 10 月 29 日發生網路安全事件，攻擊者利用遭入侵的第三方腳本將加密貨幣移出用戶錢包，Polymarket 已承諾向受影響用戶共計退還 390 萬美元。該預測市場平台證實，駭客利用外部供應商提供的效能監控腳本，從受影響帳戶執行未授權交易。

在 10 月 30 日發布的安全更新中，Polymarket 說明了賠償方案，包括 270 萬美元的攻擊相關損失，以及額外 120 萬美元的交易中斷補償。據公司表示，受影響錢包中已有 95% 獲得全額退款。

遭入侵的供應商腳本利用活躍工作階段

本次入侵源於外部技術供應商提供的效能監控腳本。攻擊者以惡意程式碼替換合法腳本，旨在利用 Polymarket 國際平台上活躍的交易工作階段。由於用戶仍處於登入狀態，被植入的程式碼得以執行未授權交易：攻擊者出售交易倉位，並在未經帳戶持有人授權的情況下，從連接的加密貨幣錢包轉出資金。

路透社確認受影響的供應商為網站效能監控公司 DebugBear。該供應商承認發生安全事件，並建議客戶在調查入侵期間移除其監控程式碼。此入侵途徑屬於更廣泛的網路供應鏈攻擊類型：第三方腳本在受信任的頁面內執行，2018 年 Magecart 針對英國航空與 Ticketmaster 的盜刷攻擊便採用了類似手法——不過那些攻擊竊取的是付款卡資料，而這次則針對已登入的交易工作階段與連接的加密貨幣錢包。

Polymarket 在偵測到可疑活動後，暫時中止了交易與交易處理。平台隨後移除惡意腳本、清除網站快取並重設活躍登入工作階段，之後才恢復正常運作。

賠償範圍超出被竊資金

退款計畫涵蓋的範圍不僅限於攻擊期間直接被竊取的資產。Polymarket 也承諾補償因交易暫時中止而蒙受財務損失的交易者。

額外的 120 萬美元用於賠償與交易中斷相關倉位的合格損失，包括市場在暫停期間關閉時價值下跌的倉位，以及交易恢復後完成的某些交易。符合資格的用戶將根據區塊鏈紀錄與交易活動自動獲得補償，認為退款金額有誤的客戶可要求額外複查。由於賠付金額是依鏈上與交易紀錄計算，而非人工理賠流程，對金額有異議的用戶必須透過該複查途徑進行更正。

安全改革針對第三方風險

此次事件凸顯了整合至加密貨幣交易平台的外部軟體所帶來的安全漏洞。即使核心區塊鏈基礎設施正常運作，遭入侵的網站元件仍可能使用戶蒙受重大財務損失。實務上，平台的攻擊面不僅包括智能合約與金鑰管理，還包括供應商提供的前端程式碼。

Polymarket 表示，正在透過更嚴格的腳本驗證、額外監控，以及對第三方程式碼更完善的限制來加強安全控管。該公司已將事件移交執法單位，並持續調查攻擊者。

390 萬美元的賠償承諾是對本次入侵事件的重大財務回應，也凸顯了隨著預測市場吸引更廣泛參與者之際，保護活躍交易工作階段的重要性。後續需關注的事項包括：尚未獲得全額退款、約佔 5% 的受影響錢包之應退款項、用戶要求複查後的調整結果，以及執法移交與 Polymarket 和 DebugBear 持續調查的結果。

來源：CryptoMeter io