全球知名預測市場 Polymarket 再爆重大安全事件！平台於 30 日凌晨時間證實，旗下國際版網站 Polymarket.com 使用的第三方服務供應商遭到入侵，導致部分用戶資產被未經授權轉移。
根據區塊鏈分析機構 Bubblemaps 及 DefiLlama 追蹤，事件涉及約 270 萬美元加密資產、約 700 名用戶。 Polymarket 一度緊急暫停交易，並切換至僅允許撤單模式（Cancel-Only Mode），隨後宣布已修復問題、恢復服務，承諾全額賠償受影響交易者。
第三方監控工具遭入侵，惡意程式竟能操作用戶交易
根據 Reuters 與資安媒體 BleepingComputer 調查，這起事件疑似與網站效能監控服務商 DebugBear 有關。
攻擊者利用遭入侵的第三方服務，透過嵌入網站的惡意 JavaScript 程式，嘗試劫持已登入用戶的交易工作階段（Trading Session），擅自賣出預測市場持倉，並將資產轉往攻擊者控制的錢包。
BleepingComputer 分析惡意程式後指出，程式會檢查使用者的加密貨幣餘額及預測市場部位，再利用既有交易權限執行未授權操作。
這次事件並非 Polymarket 底層智能合約遭到破解，而是第三方網站程式成為攻擊入口，使原本合法的交易工作階段遭到濫用。
根據 Bubblemaps 調查，這次事件影響約 700 名用戶，初步估計有約 270 萬美元資產遭轉換為 Polygon 網路原生代幣 POL 並轉出。
Arkham 同時追蹤到疑似攻擊地址持有約 265 萬美元 POL，資金經由 Relay 服務完成 USDC.e 至 POL 的兌換，之後又分散至其他地址。
另據 Bubblemaps 後續追蹤，若將尚留在平台相關部位的約 75 萬美元一併計入，廣義受影響資產估值可能達約 346 萬美元。
Polymarket 緊急停止交易 1 小時，承諾全額賠付
事件發生後，Polymarket 於 10 月 29 日 18:05 UTC（台灣時間 30 日凌晨 2 時 05 分）宣布進入僅允許撤單模式，暫停新訂單、交易撮合，以及交易中繼服務（Relayer）。
平台於 18:37 UTC 確認已找到並修復問題，同時表示已將事件交由相關執法機關處理。至 19:05 UTC，官方將事故狀態更新為已解決，交易服務恢復正常。
Polymarket 承諾讓所有受影響用戶獲得全額補償，但截至最新公告，尚未披露賠付完成比例、具體補償時間或最終受害者名單。
今年再爆第三方安全事故，預測市場成長面臨信任考驗
這不是 Polymarket 第一次面臨第三方服務安全問題。
Polymarket 今年 6 月也曾發生第三方供應商遭入侵事件，導致用戶資金損失約 300 萬美元。
若以此次約 270 萬美元的初步估計計算，兩起事件合計涉及約 570 萬美元損失，但實際金額仍須依後續調查更新。
隨著預測市場規模快速擴張，交易平台面臨的安全挑戰也從智能合約延伸至網站前端、外部服務供應商、身分驗證及交易授權。
尤其預測市場用戶通常保有尚未結算的事件合約部位，一旦交易工作階段遭到入侵，攻擊者不一定需要取得完整錢包私鑰，也可能透過既有權限處理持倉、轉換資產。這類風險不能單靠智能合約稽核解決，平台還必須加強第三方程式碼管理、交易權限隔離及異常活動監測。
