Polymarket 在供应商脚本遭入侵致270万美元损失后推出48小时提款锁定期

Polymarket 新增了一项设置，仅允许交易者将提款发送至预先批准的钱包。

该功能的推出距离黑客脚本盗取用户账户中约 270 万美元的事件发生约两周。 

Polymarket 的新提款锁定功能有何作用？

Polymarket 工程副总裁 Josh Stevens， 于周一宣布 Polymarket 将推出一项新功能，仅允许交易者将提款发送至之前已批准的钱包。该公告发布于 @devjoshstevens 账号在 X（原 Twitter）上的一篇帖子中。 

向用户账户添加新钱包地址仅需两个步骤。交易者必须通过电子邮件确认请求，然后等待 48 小时。如果交易者未发起该请求，可直接从该电子邮件中取消。

有了这一措施，攻击者将无法在未经过电子邮件验证并等待规定的两天时间后向新钱包转账。史蒂文斯表示，目标是确保攻击者无法将资金转移到用户未控制的任何地址。

然而，该锁定措施并未解决两周前 Polymarket 遭受的漏洞的根本问题。那次黑客攻击导致约 270 万美元从用户账户中被盗走。攻击者是通过运行在 Polymarket 网站内部、可访问实时会话的第三方脚本来实现这一点的。

今年六月，Polymarket 曾面临类似的问题，当时它遭遇了一次供应商脚本攻击，导致至少 11 个钱包中的约 300 万美元被转走，据 之前的 Cryptopolitan 报道显示。2025 年 12 月，一家身份认证提供商发生的漏洞也波及了用户账户。 

这些案例均涉及外部提供商，但没有任何证据将它们与同一攻击者联系起来。

Polymarket 是如何遭到黑客攻击的？接下来会发生什么？

10月 29， Polymarket 暂停了其国际平台的交易 ，因为在攻击者接管了来自英国网站速度监控公司 DebugBear 的脚本后，该脚本被替换为旨在清空钱包的代码。

Hudson Rock 的研究人员发现，该代码会检查访问者是否已登录 Polymarket。随后，它会读取用户的余额和未平仓头寸。最后，它利用该平台自身的交易工具出售头寸，并将资金转入攻击者的钱包。 

Hudson Rock 还发现，Polymarket 的网站代码记录了该脚本的移除操作。Polymarket 表示已将此案移交给执法部门。 

Bitquery 报告称，攻击者在 UTC 时间 17:10 至 18:10 之间的大约一小时内，从 737 个账户中盗取了 273 万美元。他们共进行了 985 次提款，且每笔提款都带有有效的授权批准。因此，智能合约将这些操作视为真实用户行为。 

其中一个账户在一次提款中损失了 358,369 美元，另有 276 个账户每个损失不到 100 美元。另外 33 名用户的预测市场份额也被盗取。

Polymarket 表示将全额补偿所有用户，但损失金额低于 10,000 美元的用户将优先获得退款。

Binance 和 Polymarket 也已 要求 Polygon 验证节点 批准硬分叉。硬分叉是一种网络软件变更，所有验证者都必须采用。此次变更将从攻击者钱包中转出约7049万个被冻结的POL代币，价值约650万美元。该提案于11月4日发布，并于11月5日在Polygon治理电话会议中提出。目前投票和具体日期仍待定。 

其他公司也在加强安全措施。周二，据安全公司CertiK表示，在发生63亿美元的Binance黑客事件后，交易所应设定热钱包保留金额的硬性美元上限，而不是仅依赖冷存储比例。