適用對象：使用 Polymarket 的人，以及經營載入外部服務指令碼之網站的人。本文根據 Polymarket 的官方狀態頁面與媒體報導撰寫，不介紹如何實施此類攻擊。
進行中：隨著機構發布更多資訊，本文將會更新
截至2026年10月31日尚不清楚
- 官方的損失金額
- 受影響的使用者數量
- 賠付將如何進行
- 該第三方是如何遭入侵的
Polymarket 的狀態頁面於10月29日將該事件標記為已解決。截至10月31日，我們沒有找到其發布的後續報告。據報導，該服務商已告知其自己的客戶移除其指令碼。
使用者今天應該做什麼
在官方網站上檢查您的帳號
請自己輸入網址開啟 Polymarket（不要透過訊息中的連結），並查看您的持倉、餘額以及10月29日的近期活動。如果有與您的操作不符的情況，請透過其官方網站上列出的支援管道聯絡 Polymarket。
不要理會賠付訊息
Polymarket 的狀態頁面表示受影響的使用者將獲得補償，但沒有給出申領流程。詐騙者常常利用這樣的時機。不要點擊電子郵件、私訊或回覆中的連結，不要將錢包連接到新網站，也不要為「領取」資金而簽署任何內容。請等待官方網站或狀態頁面上的公告。
絕不要分享您的助記詞或私鑰
任何正規的支援團隊都不需要它們。無論訊息是否提到 Polymarket，這一點都適用（什麼是網路釣魚？）。
藉此機會檢查您自己的風險
本站不提供財務建議。一般而言，不需要放在交易平台上的資金放在別處更安全，而平台對使用者進行賠付，並不能消除您下次登入時被詐騙盯上的風險。在多個服務中重複使用密碼是另一項獨立的風險（如何檢查密碼是否已外洩）。
事件經過（來自 Polymarket 與媒體）
以下官方時間來自 Polymarket 的狀態頁面，由 UTC 換算為美東時間（該頁面列出的是 UTC）。標註為媒體的時間來自對一家資安研究公司分析的媒體報導，而非 Polymarket。
2026年10月29日 美東時間下午 1:50–1:56（媒體）
BleepingComputer 自行查看區塊鏈活動後發現，在美東時間下午 1:50 至 1:56 之間，有來自疑似攻擊者錢包、涉及某預測市場代幣合約的交易。美東時間下午 1:59（媒體）
媒體報導引述一家資安研究公司的說法稱，Polymarket 有一個時間戳記為此刻的正式環境建置，移除了第三方監控整合。美東時間下午 2:05（Polymarket）
狀態頁面：交易所進入僅可撤單模式，調查期間暫停中繼器（relayer）操作。美東時間下午 2:37（Polymarket）
狀態頁面：問題已查明並修復；一家第三方服務商遭到入侵；已移交執法單位；所有受影響的人都將得到補償；出於謹慎起見暫時停止交易。美東時間下午 3 點左右（Polymarket）
預計交易將恢復；狀態頁面於美東時間下午 3:05 將該事件標記為已解決。媒體稱交易在暫停約一小時後恢復。
- 服務
- Polymarket.com，國際平台。媒體報導稱美國平台未受影響；Polymarket 的頁面只提到國際平台
- Polymarket 的說法
- 一家第三方服務商遭到入侵；問題已查明並修復；已移交執法單位；受影響的使用者將獲得補償
- 媒體的報導（非 Polymarket）
- 該服務商是一家網站效能監控服務，其指令碼曾在 Polymarket 的頁面上載入。據報導的行為：它對已登入使用者的帳號採取操作，要麼賣出其持倉，要麼將持倉代幣轉移到攻擊者選擇的位址。一家研究公司（據 SecurityWeek）表示，其未發現將憑證、密碼、助記詞或私鑰傳送給攻擊者的程式碼；該指令碼據稱主要是利用了已登入工作階段的權限
- 金額
- Polymarket 未揭露。媒體與分析公司追蹤到疑似錢包中約 220 萬至 270 萬美元。較低的數字是一家研究公司針對某個錢包持有量給出的數字，SecurityWeek 稱這並非經過查證的統計。據 SecurityWeek 報導，一家分析公司的看法是，位址數量並不等於受害者數量
- 服務商的回應
- 媒體報導稱，該服務商確認發生了資安事件，並告知其客戶移除其指令碼
已知與未知的資訊
截至2026年10月31日的狀態。
| 項目 | 說法 | 狀態 |
|---|---|---|
| 第三方服務商遭入侵 | Polymarket 狀態頁面，10月29日 | 已確認（Polymarket） |
| 交易暫停與恢復 | 美東時間下午 2:37 暫時停止；下午 3:05 已解決 | 已確認（Polymarket） |
| 移交執法單位 | 狀態頁面中已聲明 | 已確認（Polymarket） |
| 使用者將獲得補償 | 「受影響的使用者將獲得補償」 | 已確認（Polymarket），細節未揭露 |
| 服務商類型 | 網站效能監控服務 | 媒體報導（兩家媒體） |
| 指令碼的行為 | 出售或轉移已登入使用者的持倉 | 媒體報導，研究公司的分析 |
| 金額 | 追蹤到約 220 萬至 270 萬美元 | 媒體估算，無官方數字 |
| 受影響使用者數量 | 未說明 | 未揭露 |
| 服務商如何遭入侵 | 未說明 | 調查中（據媒體） |
| 密碼或助記詞被盜 | 研究公司未發現將其傳送出去的程式碼 | 第三方的調查結論；Polymarket 未確認 |
為什麼第三方指令碼在已登入頁面上是風險
網站從外部服務載入的指令碼，與網站自身程式碼具有相同的存取權限。一般而言，在使用者已登入的頁面上，這樣的指令碼可以看到使用者所看到的內容，並以使用者已有的工作階段進行操作。這就是為什麼外部服務商遭入侵，可以在網站自身伺服器未被攻破的情況下波及網站使用者。這是一般性的原因，並非關於本事件的額外細節。
在公開紀錄中，本案有兩個特點值得注意。受影響服務商的指令碼是一個監控工具，許多網站為取得效能資料而加入它，並且它在每個頁面上執行。另外，據媒體報導，Polymarket 移除該整合的建置，其時間戳記比首批可疑交易晚了約 10 分鐘，這說明網站一旦能夠關閉該指令碼，暴露就能多快結束。
面向網站營運者：根據公開資訊的三項檢查
Polymarket 尚未公布原因，因此本節不評判其所採取的措施，只使用上述事實。
列出使用者已登入的頁面上的每一個外部指令碼
包括分析工具、監控工具、聊天外掛與標籤管理器。對每一個，寫下由誰擁有、為何存在，以及誰可以將其關閉。移除不需要的指令碼，尤其是在涉及資金轉移或變更帳號設定的頁面上。參見仍然重要的安全標頭。
限制外部指令碼能做什麼
內容安全政策可以限制指令碼的載入來源以及可以向何處傳送資料。當指令碼以固定檔案形式提供時，子資源完整性（Subresource Integrity）檢查會有幫助，但當服務商正常變更檔案時則沒有幫助，因此對於風險最高的頁面，請考慮在審查後從您自己的網域提供該指令碼，或者乾脆不載入它。
不要讓工作階段本身就能授權高價值操作
對於出售、提領與變更位址，要求重新確認（簽署提示、第二重驗證，或帶通知的延遲）。這樣，只能利用現有工作階段的指令碼就無法悄悄完成這些操作。
本站觀點：最初的幾分鐘最關鍵
據媒體報導，移除該整合的建置是在首批可疑交易之後約 10 分鐘完成的。保留一種有文件記載的、可以快速停用任何外部指令碼的方式，並對異常交易模式設置警示，能讓一次長時間的事件變成一次短時間的事件。
一家第三方服務商的指令碼遭入侵
↓→
在使用者已登入的地方載入了哪些外部指令碼？
指令碼透過已登入的工作階段進行操作（媒體）
↓→
高價值操作是否需要重新確認？
約 10 分鐘後的建置移除了它（媒體）
↓→
您能否快速關閉任何外部指令碼？
資料來源（公開紀錄）
- Polymarket 狀態頁面，"Polymarket exchange disruption"（2026年10月29日）— status.polymarket.com
- BleepingComputer，"Polymarket halts trading after crypto-draining script breach, $2.5M traced"（2026年10月）— bleepingcomputer.com
- SecurityWeek，"$2 million drained from Polymarket traders in new supply chain attack"（2026年10月30日）— securityweek.com
媒體報導用於說明服務商類型、指令碼的據稱行為與金額，並已在上文中如此標註。媒體也引述了公司的聲明；官方措辭我們以狀態頁面為準。
更新紀錄
2026-10-31：初版，根據 Polymarket 的狀態頁面與兩篇媒體報導。當 Polymarket 公布損失金額、賠付流程或原因時，我們將更新本文。
延伸閱讀
- 同類事件：APORITO 線上商店（RIZAP）信用卡資料可能外洩
- 加密貨幣遭竊：Bitget 加密貨幣遭竊
- 其他2026年事件：2026年的資料外洩與網路攻擊