Polymarket遭270万美元脚本攻击后新增48小时提现锁定期

Polymarket 新增了一项设置，仅允许交易者将提款发送至预先批准的钱包。

该功能上线距离黑客脚本盗取用户账户约 270 万美元的事件发生仅两周。 

Polymarket 的新提款锁定功能有何作用？

Polymarket 工程副总裁 Josh Stevens， 于周一宣布 Polymarket 将推出一项新功能，仅允许交易者将提款发送至此前已批准的钱包。该公告发布于 @devjoshstevens 账号在 X（原 Twitter）上的一篇帖子中。 

向用户账户添加新钱包地址仅需两个步骤。交易者必须通过电子邮件确认请求，然后等待 48 小时。如果交易者并非本人发起请求，可直接从该邮件中取消。

有了这一措施，攻击者将无法在未经过电子邮件验证并等待规定的两天期限的情况下向新钱包转账。史蒂文斯表示，目标是确保攻击者无法将资金转移到用户未控制的任何地址。

然而，该锁定措施并未解决两周前 Polymarket 遭受的漏洞的根本问题。那次黑客攻击导致约 270 万美元从用户账户中被盗走。攻击者是通过运行在 Polymarket 网站内部、可访问实时会话的第三方脚本来实现入侵的。

Polymarket 今年早些时候（6月）就遇到过类似的问题，当时它遭遇了一次供应商脚本攻击，导致至少 11 个钱包中的约 300 万美元被转走，据 之前的 Cryptopolitan 报道显示。2025年12月，一家身份认证提供商发生的漏洞事件也波及了用户账户。 

这些案例均涉及外部服务提供商，但没有任何证据表明它们与同一攻击者有关联。

Polymarket 的黑客事件是如何发生的？接下来会发生什么？

10月 29， Polymarket 暂停了其国际平台上的交易 ，因为在攻击者接管了来自英国公司 DebugBear（一家监控网站速度的公司）的脚本后，该脚本被替换为旨在清空钱包的代码。

Hudson Rock 的研究人员发现，该代码会检查访问者是否已登录 Polymarket。随后它会读取用户的余额和未平仓头寸。最后，它利用该平台自身的交易工具出售头寸，并将资金转入攻击者的钱包。 

Hudson Rock 还发现，Polymarket 的网站代码记录了该脚本的移除操作。Polymarket 表示已将此案移交给执法部门。 

Bitquery 报告称，攻击者在大约一小时内（UTC 时间 17:10 至 18:10）从 737 个账户中盗取了 273 万美元。他们进行了 985 次提款，且每次提款都带有有效的授权批准。因此，智能合约将这些操作视为真实的用户行为。 

其中一个账户在一次提款中损失了 358,369 美元，另有 276 个账户每个损失不到 100 美元。另外 33 名用户的预测市场份额也被窃取。

Polymarket 表示将全额赔偿所有用户，但损失金额低于 10,000 美元的用户将优先获得退款。

Binance 和 Polymarket 也已 要求 Polygon 验证节点 批准硬分叉。硬分叉是一种网络软件变更，所有验证者都必须采用。此次变更将从攻击者钱包中转移约7049万个被冻结的POL代币，价值约650万美元。该提案于11月4日发布，并于11月5日在Polygon治理电话会议中进行展示。目前投票和具体日期仍待定。 

其他公司也在加强安全措施。周二，据安全公司CertiK表示，在发生63亿美元的Binance黑客事件后，交易所应设定热钱包保留金额的硬性美元上限，而不是仅依赖冷存储比例。

最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。