Polymarket事后报告将账户资金流失追溯至供应商脚本

Polymarket于2026年10月30日发布的事后报告称，前一天的账户资金流失源于遭篡改的供应商脚本，它利用了部分用户的活跃会话。这个案例说明，交易网站加载的代码也是用户登录后操作流程的安全组成部分。

WIRED于10月29日发布的原始报道介绍了国际平台暂时停盘及恢复交易的情况，并指出独立的Polymarket US平台未受影响。后来的官方事后报告补充了攻击机制和退款依据。

据Polymarket介绍，攻击者替换了一段性能监测脚本。在短暂时间窗口内，一些用户保持网站开启，该脚本便利用其会话出售持仓并转出资金。

关键边界在于，网站加载外部代码之后，这些代码能够做什么。OWASP的第三方JavaScript指南解释，这类代码可能以宿主应用的权限执行。因此，即使网站运营方没有发布新版本，供应商端的变更也可能改变用户实际收到的应用。

这是涉及账户操作的浏览器集成问题。仅凭这一机制，无法认定某个区块链协议失效，也无法确定攻击者最初如何攻破供应商。

Polymarket表示，它移除了脚本、清理了缓存、重置了活跃登录会话，并暂停后恢复交易。公司还描述了正在部署的额外完整性控制和持续监测措施。

在10月30日的更新中，公司列出了390万美元退款：270万美元，加上用于弥补停盘相关损失的120万美元。因此，不能把总额写成攻击者直接转走的金额。公告称，符合条件的钱包已被自动识别，并提供了对金额提出异议的渠道。

对于受影响用户，把账户交易及退款记录与上述说明核对，比仅凭服务恢复就认定个人余额已经完成对账更有价值。

对开发者而言，OWASP介绍了能够拒绝已变更脚本文件的完整性检查，以及限制供应商脚本访问主页面的隔离框架。这些控制针对集成的不同环节，并且需要随代码变更持续维护。

实际设计中需要追问：哪些第三方代码确实需要访问经过身份验证的操作流程，它们的变更又如何审核？Polymarket所描述的响应，说明的是公司自报采取的措施，并不等于对所有已部署控制的独立审计。

相关文章