黑客一小時內從737個Polymarket帳戶盜走273萬美元

區塊鏈調查顯示，10月29日，Polymarket在短短一小時內遭協同攻擊，737個用戶帳戶共被盜約273萬美元。調查追蹤到近1,000筆未經授權提款，均經Polymarket自身基礎設施完成。 Bitquery調查發現，攻擊者在UTC 17:10至18:10之間執行985筆提款，利用有效的錢包授權，而非利用智能合約漏洞。資金兌換為Polygon的POL代幣，分散轉入多個錢包，部分其後轉往Ethereum。 這些自動提款經Polymarket官方交易中繼器路由。該中繼器代用戶提交已授權的區塊鏈交易，用戶無需直接支付網絡費用；底層智能錢包視相關授權為合法。研究人員抽查30筆提款，發現交易在授權生成後僅3至7秒內執行，顯示屬自動化活動。 單一帳戶最大損失約35.8萬美元。四個帳戶合共佔被盜資金43%；另有276個帳戶各損失不足100美元。 此次攻擊與6月一宗安全事件相似。該次事件造成至少11個錢包合共約294萬美元損失，涉及經受損第三方依賴引入的惡意代碼。Polymarket此前亦曾因外部認證供應商出現帳戶外洩，反映即使底層區塊鏈合約完好，與平台連接的服務仍可能成為攻擊目標。 調查人員追蹤被盜資金在Polygon及Ethereum上的流向，識別出一個由攻擊者控制的地址，該地址先接收約2,864萬枚POL，再分發至三個新創建錢包。部分資金其後經Relay、deBridge及Polygon原生跨鏈橋轉往Ethereum。截至調查截止時間UTC 19:49，約217萬美元仍存於三個Polygon錢包，另一個已識別的Ethereum錢包持有126.10枚ETH。 攻擊者亦從33個帳戶轉移預測市場持倉，並開設一個新的Polymarket帳戶，出售部分被盜份額。 Bitquery另發現一筆10.99美元提款發生於UTC 19:11，即Polymarket稱已修復問題後約38分鐘。該交易不足以證明漏洞仍可普遍利用，但令外界質疑補救措施的實際時間。 Polymarket官方事件報告確認，攻擊者替換第三方網站腳本，植入針對已開啟平台用戶的惡意代碼。公司移除腳本、清除緩存、重設活躍登入時段，並暫停交易。其後公布，95%受影響錢包已獲全額退款，總補償金額將達390萬美元。 此次事件令預測市場行業再添安全憂慮。該行業本已因市場誠信及敏感交易資訊處理而受審視。事件亦凸顯去中心化金融應用的更廣泛風險：即使區塊鏈合約運作正常，受損的外部軟件仍可授權具破壞性的交易。Polymarket過往的安全問題亦說明，必須區分真正的基礎設施入侵與其他被報道的威脅。