在第三方監控腳本遭入侵而被迫短暫停運後，Polymarket 的國際交易所於 2026 年 10 月 29 日恢復交易。該平台停止接受新訂單、暫停中繼器（relayer）活動，並承諾將退還客戶資金。公司旗下獨立的美國平台未受影響。

一個能伸入即時交易工作階段的監控腳本

網路安全公司 Hudson Rock 在 DebugBear 的真實使用者監控（Real User Monitoring，RUM）腳本中發現一個 15,187 位元組的惡意承載。RUM 腳本是常見的網站效能工具：網站營運者將其嵌入，使其在每位訪客的瀏覽器內執行，並在真實環境下測量頁面載入情況。該程式碼能夠存取已儲存的帳戶資訊、識別交易者使用的授權客戶端，並嘗試出售持倉或轉移代幣。

Polymarket 的網站程式碼隨後顯示 DebugBear 腳本已被移除，表明這次攻擊利用的是網站上執行的程式碼，而非平台智慧合約的缺陷。Hudson Rock 在其 InfoStealers 部落格的報告中發布了調查結果。

僅限取消模式，隨後於美東時間下午 3 時恢復交易

Polymarket 於 2026 年 10 月 29 日將國際交易所設為僅限取消（cancel-only）模式。其狀態帳號表示一家供應商遭入侵，案件已移交英國執法機關。

同日美東時間下午 3 時左右，交易所恢復交易。公司同時宣布退款政策。根據 CNBC 的報導，損失低於 10,000 美元的客戶預計可於 2026 年 10 月 30 日前獲得退款；損失超過該金額的客戶則須先簽署免責聲明書。儘管 Polymarket 已公布退款計畫，但尚未證實任何退款已經發放。

DebugBear 要求客戶移除其程式碼

DebugBear 也承認了這一安全問題。2026 年 10 月 29 日，該公司敦促客戶在專業應變人員調查期間移除其監控程式碼。

我們正受到一起持續進行中的安全事件影響。如果您使用我們的 RUM 產品，請從您的網站移除嵌入程式碼。 — DebugBear (@DebugBear) October 29, 2026

這項警告突顯了更廣泛的隱憂：第三方腳本可在合法網站內執行，一旦遭入侵，便可能存取使用者的活動瀏覽器工作階段。由於此公告涵蓋所有執行該 RUM 嵌入程式碼的網站，也突顯出單一供應商腳本遭入侵可能同時使許多不相關的網站暴露於風險之中。

初步損失估計與已證實損失

目前財務損失仍不明確。據 CNBC 報導，Betting Intelligence 與 Polysights 於 2026 年 10 月 29 日追蹤到至少 270 萬美元的提款，涉及 710 個錢包。與此同時，Hudson Rock 在一個後備收款地址發現約 219 萬美元，但該餘額無法確定實際被竊金額。Polymarket 尚未證實總損失。

此前兩次供應商事故，原因各不相同

這並非 Polymarket 首次發生與供應商相關的安全問題。2026 年 6 月，Halborn 與 TechCrunch 報導一起惡意腳本攻擊，據稱從至少 11 個錢包盜取約 300 萬美元。Polymarket 當時也曾承諾退款。

更早之前，2025 年 12 月，另一起身分驗證供應商資料外洩事件影響了使用者帳戶。Cryptopolitan 與 CertiK 均記錄了該事件。

這三起事件均涉及外部供應商。然而，目前沒有證據顯示它們與同一攻擊者或相同根本原因有關。

反覆的供應商風險對產業意味著什麼

這些反覆發生的事件之際，預測市場正吸引更多交易活動。一份源自 Artemis 的報告記錄，2026 年 9 月追蹤市場的總交易量為 764.6 億美元，其中 Polymarket 佔 131.2 億美元。這些數字代表交易活動，而非持有的資產。

這種成長使安全問題更加受到關注。CertiK 警告，將傳統網路服務與區塊鏈技術結合的平台仍可能存在中心化漏洞。此類風險也可能使機構投資者卻步。據 Jefferies 表示，對沖基金雖表現出興趣，但仍保持謹慎，流動性、合規與聲譽方面的顧慮持續阻礙其參與。

與此同時，KPMG 強調供應商、經紀商、交易所與清算機構各自的責任有所不同。受美國監管的交易所必須符合監控、系統防護與參與者保護的要求。然而，這些規定並不自動適用於 Polymarket International。

對 Polymarket 而言，恢復交易只是挑戰的一部分。更大的考驗在於能否管理來自外部供應商的風險，並重新贏得使用者的信心。近期觀察指標包括：低於 10,000 美元的退款能否在公布的 10 月 30 日前到帳、較大金額索賠的免責聲明書流程如何發展、公司是否證實總損失金額，以及英國執法機關的移交與持續調查將帶來什麼結果。