适用对象：使用 Polymarket 的人，以及运营加载外部服务脚本的网站的人。本文基于 Polymarket 的官方状态页面和媒体报道，不介绍如何实施此类攻击。
持续更新中：随着机构发布更多信息，本文将会更新
截至2026年10月31日尚不清楚
- 官方的损失金额
- 受影响的用户数量
- 赔付将如何进行
- 该第三方是如何遭入侵的
Polymarket 的状态页面于10月29日将该事件标记为已解决。截至10月31日，我们没有找到其发布的后续报告。据报道，该服务商已告知其自己的客户移除其脚本。
用户今天应该做什么
在官方网站上检查您的账户
请自己输入网址打开 Polymarket（不要通过消息中的链接），并查看您的持仓、余额以及10月29日的近期活动。如果有与您的操作不符的情况，请通过其官方网站上列出的支持渠道联系 Polymarket。
不要理会赔付消息
Polymarket 的状态页面表示受影响的用户将获得补偿，但没有给出申领流程。骗子常常利用这样的时机。不要点击电子邮件、私信或回复中的链接，不要将钱包连接到新网站，也不要为“领取”资金而签署任何内容。请等待官方网站或状态页面上的公告。
绝不要分享您的助记词或私钥
任何正规的支持团队都不需要它们。无论消息是否提到 Polymarket，这一点都适用（什么是网络钓鱼？）。
借此机会检查您自己的风险敞口
本站不提供财务建议。一般而言，不需要放在交易平台上的资金放在别处更安全，而平台对用户进行赔付，并不能消除您下次登录时被诈骗盯上的风险。在多个服务中重复使用密码是另一项独立的风险（如何检查密码是否已泄露）。
事件经过（来自 Polymarket 和媒体）
以下官方时间来自 Polymarket 的状态页面，由 UTC 换算为美东时间（该页面列出的是 UTC）。标注为媒体的时间来自对一家安全研究公司分析的媒体报道，而非 Polymarket。
2026年10月29日 美东时间下午 1:50–1:56（媒体）
BleepingComputer 自行查看区块链活动后发现，在美东时间下午 1:50 至 1:56 之间，有来自疑似攻击者钱包、涉及某预测市场代币合约的交易。美东时间下午 1:59（媒体）
媒体报道援引一家安全研究公司的说法称，Polymarket 有一个时间戳为此刻的生产环境构建，移除了第三方监控集成。美东时间下午 2:05（Polymarket）
状态页面：交易所进入仅可撤单模式，调查期间暂停中继器（relayer）操作。美东时间下午 2:37（Polymarket）
状态页面：问题已查明并修复；一家第三方服务商遭到入侵；已移交执法部门；所有受影响的人都将得到补偿；出于谨慎起见暂时停止交易。美东时间下午 3 点左右（Polymarket）
预计交易将恢复；状态页面于美东时间下午 3:05 将该事件标记为已解决。媒体称交易在暂停约一小时后恢复。
- 服务
- Polymarket.com，国际平台。媒体报道称美国平台未受影响；Polymarket 的页面只提到国际平台
- Polymarket 的说法
- 一家第三方服务商遭到入侵；问题已查明并修复；已移交执法部门；受影响的用户将获得补偿
- 媒体的报道（非 Polymarket）
- 该服务商是一家网站性能监控服务，其脚本曾在 Polymarket 的页面上加载。据报道的行为：它对已登录用户的账户采取操作，要么卖出其持仓，要么将持仓代币转移到攻击者选择的地址。一家研究公司（据 SecurityWeek）表示，其未发现将凭据、密码、助记词或私钥发送给攻击者的代码；该脚本据称主要是利用了已登录会话的权限
- 金额
- Polymarket 未披露。媒体和分析公司追踪到疑似钱包中约 220 万至 270 万美元。较低的数字是一家研究公司针对某个钱包持有量给出的数字，SecurityWeek 称这并非经过核实的统计。据 SecurityWeek 报道，一家分析公司的看法是，地址数量并不等于受害者数量
- 服务商的回应
- 媒体报道称，该服务商确认发生了安全事件，并告知其客户移除其脚本
已知与未知的信息
截至2026年10月31日的状态。
| 项目 | 说法 | 状态 |
|---|---|---|
| 第三方服务商遭入侵 | Polymarket 状态页面，10月29日 | 已确认（Polymarket） |
| 交易暂停与恢复 | 美东时间下午 2:37 暂时停止；下午 3:05 已解决 | 已确认（Polymarket） |
| 移交执法部门 | 状态页面中已声明 | 已确认（Polymarket） |
| 用户将获得补偿 | “受影响的用户将获得补偿” | 已确认（Polymarket），细节未披露 |
| 服务商类型 | 网站性能监控服务 | 媒体报道（两家媒体） |
| 脚本的行为 | 出售或转移已登录用户的持仓 | 媒体报道，研究公司的分析 |
| 金额 | 追踪到约 220 万至 270 万美元 | 媒体估算，无官方数字 |
| 受影响用户数量 | 未说明 | 未披露 |
| 服务商如何遭入侵 | 未说明 | 调查中（据媒体） |
| 密码或助记词被盗 | 研究公司未发现将其发送出去的代码 | 第三方的调查结论；Polymarket 未确认 |
为什么第三方脚本在已登录页面上是风险
网站从外部服务加载的脚本，与网站自身代码具有相同的访问权限。一般而言，在用户已登录的页面上，这样的脚本可以看到用户所看到的内容，并以用户已有的会话进行操作。这就是为什么外部服务商遭入侵，可以在网站自身服务器未被攻破的情况下波及网站用户。这是一般性的原因，并非关于本事件的额外细节。
在公开记录中，本案有两个特点值得注意。受影响服务商的脚本是一个监控工具，许多网站为获取性能数据而添加它，并且它在每个页面上运行。另外，据媒体报道，Polymarket 移除该集成的构建，其时间戳比首批可疑交易晚了约 10 分钟，这说明网站一旦能够关闭该脚本，暴露就能多快结束。
面向网站运营者：根据公开信息的三项检查
Polymarket 尚未公布原因，因此本节不评判其所采取的措施，只使用上述事实。
列出用户已登录的页面上的每一个外部脚本
包括分析工具、监控工具、聊天插件和标签管理器。对每一个，写下由谁拥有、为何存在，以及谁可以将其关闭。移除不需要的脚本，尤其是在涉及资金转移或更改账户设置的页面上。参见仍然重要的安全标头。
限制外部脚本能做什么
内容安全策略可以限制脚本的加载来源以及可以向何处发送数据。当脚本以固定文件形式提供时，子资源完整性（Subresource Integrity）校验会有帮助，但当服务商正常更改文件时则没有帮助，因此对于风险最高的页面，请考虑在审查后从您自己的域名提供该脚本，或者干脆不加载它。
不要让会话本身就能授权高价值操作
对于出售、提现和更改地址，要求重新确认（签名提示、第二重验证，或带通知的延迟）。这样，只能利用现有会话的脚本就无法悄悄完成这些操作。
本站观点：最初的几分钟最关键
据媒体报道，移除该集成的构建是在首批可疑交易之后约 10 分钟完成的。保留一种有文档记载的、可以快速停用任何外部脚本的方式，并对异常交易模式设置告警，能让一次长时间的事件变成一次短时间的事件。
一家第三方服务商的脚本遭入侵
↓→
在用户已登录的地方加载了哪些外部脚本？
脚本通过已登录的会话进行操作（媒体）
↓→
高价值操作是否需要重新确认？
约 10 分钟后的构建移除了它（媒体）
↓→
您能否快速关闭任何外部脚本？
信息来源（公开记录）
- Polymarket 状态页面，"Polymarket exchange disruption"（2026年10月29日）— status.polymarket.com
- BleepingComputer，"Polymarket halts trading after crypto-draining script breach, $2.5M traced"（2026年10月）— bleepingcomputer.com
- SecurityWeek，"$2 million drained from Polymarket traders in new supply chain attack"（2026年10月30日）— securityweek.com
媒体报道用于说明服务商类型、脚本的据称行为和金额，并已在上文中如此标注。媒体也引用了公司的声明；官方措辞我们以状态页面为准。
更新记录
2026-10-31：首版，基于 Polymarket 的状态页面和两篇媒体报道。当 Polymarket 公布损失金额、赔付流程或原因时，我们将更新本文。
延伸阅读
- 同类事件：APORITO 网上商店（RIZAP）卡片数据可能泄露
- 加密货币被盗：Bitget 加密货币被盗
- 其他2026年事件：2026年的数据泄露和网络攻击