Polymarket第三方服務遭駭 737帳戶被盜約273萬美元 平台承諾全額賠償

品傳媒-虛擬貨幣小編·
虛擬貨幣
··1 分鐘讀取
電腦螢幕上執行惡意程式碼的資安攻擊示意圖
示意圖（圖／Freepik）

〔品傳媒／綜合外電報導〕全球最大加密預測市場平台Polymarket資安事件細節陸續曝光。區塊鏈數據業者Bitquery追蹤發現，台灣時間30日凌晨1時至2時許，攻擊者透過遭入侵的第三方網站監控服務，從737個帳戶私自領走約273萬美元；Polymarket一度將國際版平台切換為僅可取消委託模式，已承諾全額賠償受害用戶，並將案件移交執法單位。

重點摘要：攻擊者利用嵌入Polymarket網站的第三方效能監控程式注入惡意腳本，以用戶已登入的交易授權移轉資產，損失約260萬至273萬美元。這是Polymarket今年第二度因第三方廠商遭駭而使用戶受損。

Polymarket遭駭細節：第三方監控服務成破口 737個帳戶受影響

根據CoinDesk報導，Polymarket於美東時間29日（台灣時間30日凌晨）在狀態頁面表示，其一家第三方服務供應商遭入侵，影響國際版平台，公司「已找出並修復問題」。事件起因是多名用戶在社群平台X反映，帳戶資產在未經同意下被提領。CoinDesk引述DeFi Llama數據，損失金額約270萬美元。

Finance Magnates引述《華爾街日報》報導指出，遭入侵的是嵌入Polymarket網站的效能監控服務商DebugBear，該公司已表示正在處理資安事件，並要求客戶移除其嵌入程式碼。Polymarket本身則未公開廠商名稱。

攻擊手法：惡意腳本利用已登入授權移轉資產

CCN在Yahoo Finance刊登的報導整理資安研究人員說法指出，透過DebugBear基礎設施提供的惡意JavaScript會搜尋已登入的Polymarket工作階段、檢視持倉，再以該工作階段既有的交易用戶端與簽章工具賣出部位或轉移資產。由於交易帶有有效授權，智能合約視其為正常操作；資安公司Hudson Rock取得的樣本中，則未發現竊取密碼、助記詞或私鑰的程式碼。

項目 數據
受影響帳戶 737個
未經授權提領 985筆、約273萬美元
主要攻擊時段 台灣時間30日1時10分至2時10分
單筆最大提領 35萬8,369美元
損失低於100美元帳戶 276個

資料來源：Bitquery追蹤數據，經CCN／Yahoo Finance報導整理

該報導指出，4個帳戶就占被盜金額約43%，另有33名用戶的預測市場部位也被轉走且未計價，實際損失可能高於目前統計。被盜資產先換成POL並分散至多個錢包，部分再經Relay、deBridge與Polygon原生跨鏈橋轉至以太坊。而《華爾街日報》檢視鏈上資料後則發現，嫌疑攻擊者錢包透過900多筆交易收到超過250萬美元。

平台回應：承諾全額賠償 國際版已恢復交易

Finance Magnates報導，Polymarket在事件期間將國際版平台切換為僅可取消委託的模式，暫停新買賣單與中繼器（relayer）操作，並表示將賠償受影響用戶。CCN報導則指出，國際版平台已恢復交易，英國當局也已介入調查；不過Polymarket尚未公布最終損失統計與賠償時程，攻擊者最初如何入侵DebugBear也仍未查明。

CoinDesk也指出，Polymarket今年6月曾因另一家第三方廠商遭駭影響前端網頁，用戶損失約300萬美元。這次事件與品傳媒稍早報導的幣安遭駭63億美元案前後發生，兩起事件的成因與規模不同，但都涉及合法授權遭濫用的問題，後續可觀察平台對第三方程式碼的管理與賠償執行情況。

常見問題 FAQ

Polymarket為什麼會遭駭？

根據報導，攻擊者入侵嵌入Polymarket網站的第三方效能監控服務DebugBear，注入惡意腳本，再利用用戶已登入的授權賣出部位或轉移資產。Polymarket本身僅表示是一家第三方供應商遭入侵。

也可以看看

受害用戶會獲得賠償嗎？

Polymarket已承諾全額賠償受影響用戶，但截至發稿尚未公布具體賠償時程，用戶應以官方公告為準。

這次事件損失多少？

各方估算略有差異：DeFi Llama估計約270萬美元，Bitquery追蹤到約273萬美元、737個帳戶受影響，《華爾街日報》則發現嫌疑錢包收到逾250萬美元。

參考資料

※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。