Polymarket 在10月29日因一家外部服務供應商發生安全事件後，已恢復其國際平台的交易，公司表示在此次入侵事件中蒙受損失的交易者將獲得全額補償。區塊鏈分析公司Bubblemaps估計，約有700名用戶被竊走約270萬美元，不過Polymarket尚未證實該數字。

研究人員已將此次攻擊與嵌入於一家網站效能監控服務中的惡意程式碼連結起來。Polymarket US，即該公司為美國用戶提供、受聯邦監管的平台，未受影響。

交易暫停的經過

Polymarket 的應對首先將交易所轉為僅限取消模式，讓客戶可以撤回現有訂單，同時停止處理新交易。公司也暫停了代用戶提交交易的服務，隨後才披露其第三方供應商之一已遭入侵。

在公司調查期間，交易暫停了數小時。隨後Polymarket Traders在X上的帳號發布更新，確認交易已完全恢復上線。

據公司表示，遭入侵的供應商位於英國。Polymarket表示其自身網站並未遭入侵，並已通報英國執法單位。這次事件顯示，即使平台自身的基礎設施未受影響，其日常營運仍可能透過供應商而受到干擾。

此次入侵並未影響Polymarket US，這是為美國用戶提供、以受聯邦監管交易所形式運作的新平台。其主力國際平台以加密貨幣為基礎，在美國及其他多個國家被禁用。

追蹤被竊資金

Bubblemaps 追蹤到資金從數百個存款錢包流入一個其確認屬於攻擊者的地址。其圖表顯示有712個存款錢包，約271萬美元經由主要路徑流動。

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

該公司表示，被竊資金已兌換為Polygon的原生代幣POL，並轉往多個地址。該公司也追蹤到轉往以太坊的資金。

攻擊如何運作

研究人員將可疑程式碼與一家網站效能監控服務連結起來。這類工具通常協助企業了解其網站的載入與運作情況。透過供應商的程式碼而非企業自身系統而來的入侵，在業界通常被稱為供應鏈攻擊，而嵌入的第三方腳本長久以來一直是網路平台常見的攻擊向量。據研究人員所述，該惡意程式碼存取了用戶的交易工作階段，並發起將資產移出其帳戶的操作。確切的攻擊方式仍在調查中。

在X上，多位知名交易者表示他們蒙受了損失。Polymarket拒絕向WIRED透露受影響的交易者人數或損失金額。

先前事件與10億美元融資輪

這並非該平台首次遭入侵。2026年6月，另一起事件使受影響的交易者損失超過200萬美元。依Bubblemaps的估計，最新事件的損失將超過該總額。該公司自2020年推出以來便爭議不斷，包括導致多人被捕的涉嫌內線交易案件；相關案件中的嫌疑人均已申辯無罪。該平台允許用戶對現實世界事件的結果進行交易。

2026年8月，Polymarket 在由Donald Trump Jr.為合夥人的1789 Capital領投的融資輪中募集了10億美元。該公司目前的估值為210億美元。

承諾退款，細節待公布

Polymarket 已承諾全額償付，但尚未公布時程表或申領流程。用戶正在等待哪些帳戶符合資格、損失將如何計算以及資金何時返還等細節。這些未解問題——確切的攻擊方式、最終損失總額以及補償機制——目前取決於Polymarket正在進行的調查，英國執法單位也已獲通報。Polymarket團隊預計將對此事件提出完整分析。

來源：Blockonomi