Polymarket 年内第三次被黑：第三方供应商再遭攻破约265万美元，前端供应链成预测市场合规最薄弱一环

Aiying 艾盈是一家专注于传统金融及Web3的合规咨询服务机构，本文为团队原创，转载需授权。

Polymarket 于 10 月 29 日遭遇年内第三次安全事件：一家第三方供应商被攻破，攻击者通过前端脚本抽走用户资产，链上数据显示疑似攻击者钱包已归集约 265 万美元的 POL。平台随即进入仅允许撤单（cancel-only）模式、暂停中继器（Relayer），数小时后确认”已定位并修复、移交执法部门、受影响用户将获全额赔付”。这件事的级别不是”预测市场又被黑了一次”，而是它把”第三方供应商供应链”这一环暴露成了加密前端最薄弱的合规节点——而且发生在 CFTC 就市场诚信调查 Polymarket、美国中期选举投票（11 月 3 日）前夜，时机敏感。

• 预测市场与 DeFi 前端运营方：第三方脚本（监控、性能、分析）是头号供应链风险，不是交易所核心合约
• 机构资金方：Polymarket 的”全额赔付”是消费者保护姿态，但赔付机制与责任边界还没写清
• 一线安全与合规：前端第三方依赖白名单加子资源完整性（SRI）该上马了

对你意味着什么

预测市场与 DeFi 前端运营方

教训不在”被黑”，在”被黑的口子”——三次里有两次是第三方供应商（6 月的供应商脚本注入、这次的供应商被攻破）。你们前端挂的每一个第三方脚本都是攻击面，不是”技术债”，是合规债。

机构资金方与做市商

Polymarket 承诺”全额赔付”并区分低于 1 万美元自动退款、达到 1 万美元需签文件，这是在往消费者保护的方向靠，但”赔付谁兜底、责任怎么切、多久到账”都还没定。如果你有资金或头寸在平台上，先确认自己的提现通道和赔付流程，别把”会赔”当成”已经赔”。

无牌与离岸平台

同样跑在第三方脚本上的平台，这次该焦虑的不是 Polymarket，是你自己。Polymarket 有”移交执法部门”的公开姿态和赔付能力，多数小平台两者都没有。

关键事实

事件在 10 月 29 日 18:05 UTC 被登记为重大故障，影响预测交易 API（中央限价订单簿 CLOB）。平台声明进入”仅可撤单、暂停新订单、中继器停摆”。链上分析方 Arkham 认定疑似攻击者钱包 0x3F99…fC18 持有约 265 万美元 POL，资产经跨链兑换服务 Relay 通过多笔 USDC.e→POL 换入。安全机构 Hudson Rock 指出，一个由网页性能监控服务 DebugBear 托管的脚本内含抽干钱包的代码，并把该地址硬编码为兜底收款人。Polymarket 官方随后确认”一家第三方供应商被攻破”，已修复并移交执法部门，承诺受影响用户将获全额赔付。社区方面，用户 Car 自述损失 80 万美元、其朋友损失 60 万美元，另一账户 StarPlatinum 称损失约 268 万美元（均未经官方证实）。时间线上，首笔资金约 17:05 UTC 流入，17:50 达 202 万美元，18:05 峰值 268 万美元，交易约于 10 月 29 日 15:00 ET 恢复（Decrypt，2026-10-29）。

这是 Polymarket 2026 年内的第三次安全事故：5 月一次内部钱包私钥泄露约 70 万美元；6 月一家第三方供应商被攻破、恶意脚本注入前端，约 300 万美元、波及不到 15 个账户，当时承诺全额赔付。三次里两次栽在”第三方”上。

真正的信号是什么

真正的信号不是”Polymarket 又被黑”，而是预测市场的前端供应链已经成为被反复验证的攻击入口，平台只能用”全额赔付加移交执法”来补消费者保护的位。这件事与 CFTC 正在做的市场诚信调查叠在一起——Polymarket 在中期选举前已调查数十起可疑交易、至少两起移交 CFTC（见 Polymarket 调查数十起美国中期选举可疑交易、两起移交 CFTC：预测市场内幕交易监管再升级，另有 CFTC 重启调查 Polymarket 是否违反 2022 和解协议：美国用户访问管控与广告活动成焦点 和 Polymarket 解雇首席营销官 Matthew Modabber：虚假盈利营销引发 CFTC 调查，预测市场平台营销合规红线浮现）——会把一个本属”信息安全”的事件，推向”平台运营与用户保护义务”的合规层面。对同类平台，这意味着前端第三方依赖不能再当纯技术问题放着。

给一线合规：前端供应链怎么堵

如果你运营一个接第三方脚本的加密前端，立刻能做的 checklist：① 盘点前端全部第三方依赖（监控、性能、分析、客服、支付）并逐一定级；② 对高权限脚本启用子资源完整性（SRI）与来源白名单，非白名单域名一律拦截；③ 对涉及签名、提现的会话建立独立风控，异常签名请求直接熔断；④ 建立第三方供应商的安全准入与持续监控，别只做一次性审计。三个坑：第一，第三方脚本往往有合法生产权限，恶意代码”看起来像正常交易”直到余额被清空，靠用户自己辨别签名请求不现实；第二，攻击者这次通过 Relay 这类跨链服务换币，说明”抽干—换币—归集”的路径已被工具化，链上监控要盯换币出口，不只是入口；第三，赔付承诺会引来大量冒领与钓鱼，官方渠道与工单流程要在赔付开始前钉死。存疑点：Polymarket 至今没公开被攻破供应商的名称、受影响钱包总数、总损失确切数字，也没公布赔付的完整责任与时间表——这些都要持续向平台追。

接下来盯什么

• Polymarket 是否披露攻击根因（供应商名称、受影响钱包数、总损失）与赔付时间表
• CFTC 是否会借这次安全事件，把审查从”市场诚信”扩大到”平台运营与用户资金保护”
• 10 月 30 日前低于 1 万美元的自动退款是否如期落地，达到 1 万美元的签文件赔付流程是否顺畅
• 同类平台（如 Kalshi）是否跟进收紧前端第三方依赖与供应链审计

已经确定的是：事件定性为第三方供应商被攻破、平台已修复并移交执法、承诺全额赔付。还没定论的是：攻击根因、受影响规模，以及这次”第三次安全事件”会不会成为监管把预测市场用户保护义务明确化的导火索。

免责声明：本文仅供信息参考，不构成法律、投资或财务建议；具体申请与合规安排以最新法规及监管机构官方口径为准。转载请注明来源。

本文基于一手信源撰写，详情见正文内引用链接。

初版日期：2026-10-30 | 最后更新：2026-10-30