黑客通过劫持DebugBear脚本从Polymarket交易者手中窃取约270万美元
Hackers Steal About $2.7 Million From Polymarket Traders via Hijacked DebugBear Script
AI 摘要10月29日，预测市场平台Polymarket网站遭到黑客攻击。攻击者篡改了该平台引用的第三方服务商DebugBear网页测速脚本，在交易者保持登录状态时自动抛售其持仓并转移资金。链上记录显示约264万美元加密资产流入攻击者地址。Polymarket官方表示，正向受影响的726个钱包退还约270万美元。
解读
发生了什么
10月29日，预测市场平台Polymarket网站被植入恶意代码。该恶意代码替换了网站调用的外部公司DebugBear网页测速脚本。当交易者处于登录状态时，恶意代码擅自卖出其持仓并将资金转移至黑客账户。区块链记录显示黑客共接收了价值约264万美元的加密资产，Polymarket随后宣布向受影响的726个钱包退还约270万美元。
为什么重要
该事件揭示了去中心化应用在前端架构上的系统性脆弱点。去中心化平台虽依托链上智能合约结算，但前端界面仍然高度依赖传统Web2技术栈与第三方JavaScript服务。一旦外部测速或监控脚本分发环节被攻破，黑客便可通过恶意脚本在用户浏览器端调用已授权接口强制抛售资产。这种攻击绕过了智能合约代码层面的安全防线，表明仅依赖链上审计无法防范端到端安全风险。事件将倒逼金融类Web应用加速落地子资源完整性校验与更严格的内容安全策略。
影响谁
- Polymarket平台与受影响交易者平台需承担约270万美元的直接赔偿支出与声誉折损；726名用户的持仓被强制平仓，失去了原有的市场头寸。
- Web3与金融科技开发团队面临前端供应链排查压力，必须重新审查接入的第三方分析、测速工具，提高前端脚本的隔离与防护标准。
- 第三方SaaS与前端监控服务商代码分发渠道的安全性受到质疑，金融属性较强的客户可能会收紧外部脚本接入权限并提高供应商准入门槛。
背景
Polymarket是目前全球主要的链上预测市场平台，近期因承载多项重大事件的预测交易而出现资金规模的大幅增长。随着平台资金聚集度提升，其面临的网络攻击尝试也更为集中。利用第三方供应商脚本渗透下游目标是网络攻击中的成熟手段，但在链上金融场景中直接用于自动抛售资产此前较为少见。
和中国的关系
虽然国内禁止开展虚拟货币相关业务，但中国存在规模庞大的Web3与金融科技出海开发群体。此次事件表明出海项目必须将安全体系从单纯的合约审计延伸至前端全链路，防范第三方组件成为攻击跳板。对于持有海外合规数字资产账户的读者，也提示了应避免在平台长期保持登录状态与过度授权。
接下来关注
- Polymarket向726个受损钱包赔付约270万美元的链上到账与完成进度
- DebugBear官方关于测速脚本被劫持具体技术路径的事故调查说明
- 主流预测市场及DeFi前端是否普遍启用子资源完整性（SRI）防范脚本篡改
摘要和解读由 AI 根据公开报道整理，以原文为准。