Polymarket证实，因第三方系统遭入侵，黑客从用户账户中盗取了300万美元

• 要点摘要： </span></p>
• <ul>
• <li><span style="font-weight: 400;">Polymarket称，黑客通过遭入侵的第三方供应商，从11名以上用户处盗取了约300万美元。 </span></li>
• <li><span style="font-weight: 400;">Peckshield 追踪发现，此次攻击源于恶意前端代码，该代码诱使用户批准欺诈性交易。 </span></li>
• <li><span style="font-weight: 400;">Polymarket 表示，随着预测市场面临日益严峻的安全和监管审查，该公司正向受害者全额退款。</span></li>
• </ul>
• <p><span style="font-weight: 400;">

这是一次供应链攻击，而非直接入侵

Polymarket披露，其一家外部供应商遭到入侵，导致攻击者向部分用户的前端植入了恶意代码。该篡改后的脚本驱动了一场钓鱼攻击，诱骗受害者批准欺诈性交易，进而从其关联钱包中盗取资金。

“我们已控制住该事件，”Polymarket表示，并补充称已移除受影响的依赖项，且正在“全额退还受害者资金”。该公司强调，其自身的核心基础设施和链上市场并未遭到入侵，薄弱环节在于一家第三方供应商——其代码是通过Polymarket网站提供的。

区块链安全公司Peckshield估计，此次攻击导致超过11名受害者损失约300万美元。此外，此次攻击属于典型的供应链攻击，攻击者通过针对可信供应商来渗透大型平台，而非直接攻击该平台的系统。

由于恶意代码存在于网站前端而非底层智能合约中，此次攻击直接针对了大多数用户实际交互的层级。访问被入侵页面的用户会被提示签署看似合法的交易，但实际上却将资产控制权交给了攻击者。

总而言之，锁定在Polymarket链上市场中的资金从未直接面临风险，但批准了伪造交易的用户却发现自己的钱包被清空了。

后续进展

Polymarket表示，正在逐一联系受害者，并迅速处理退款事宜，自行承担此次源于外部的漏洞造成的损失（此举很可能是为了维护其快速增长的用户群体的信任）。

此外，此次安全事件发生之际，预测市场正处于蓬勃发展阶段，Polymarket 及其竞争对手 Kalshi 共同推动 4 月份创下历史新高。仅 Polymarket 迄今已处理超过 1 亿笔交易，使其成为加密货币领域最活跃的交易场所之一。

这种增长的规模并未被观察者忽视，因此该平台最近部署了Chainalysis监控工具来维护市场的诚信。与此同时，美国立法者就预测市场的内幕交易防护措施展开了调查，其中一项共和党提案旨在禁止国会议员及其家属对政策结果进行投注。

6月份的事件使运营安全问题也加入了这一担忧清单。尽管退款承诺或许能限制声誉受损的程度，但现实情况是，预测市场——与交易所和DeFi协议一样——如今正被视作经验丰富的攻击者眼中的有利可图的攻击目标。