Polymarket／官方：國際平台第三方供應商遭入侵——暫停交易約一小時；承諾受影響用戶獲償

Key takeaway

預測市場平台 Polymarket 於二零二六年十月二十九日在官方狀態頁公布，其國際站因第三方供應商遭入侵而進入僅可取消訂單模式，約一小時後恢復；官方指已修復問題、轉介執法機關，並承諾受影響用戶將獲全額補償。Wired、BleepingComputer 等媒體報道鏈上分析估算損失約二百五十萬至二百七十萬美元，平台未向傳媒確認具體金額與人數。本文核對自 Polymarket 官方狀態頁，來源真實性已驗證。

Polymarket／官方：國際平台第三方供應商遭入侵——暫停交易約一小時；承諾受影響用戶獲償

預測市場平台 Polymarket 於二零二六年十月二十九日在官方狀態頁公布，其國際站因第三方供應商遭入侵而進入僅可取消訂單模式，約一小時後恢復；官方指已修復問題、轉介執法機關，並承諾受影響用戶將獲全額補償。Wired、BleepingComputer 等媒體報道鏈上分析估算損失約二百五十萬至二百七十萬美元，平台未向傳媒確認具體金額與人數。本文核對自 Polymarket 官方狀態頁，來源真實性已驗證。

Polymarket／官方：國際平台第三方供應商遭入侵——暫停交易約一小時；承諾受影響用戶獲償

加密貨幣預測市場 Polymarket 再揭供應鏈環節風險。二零二六年十月二十九日約十八時零五分（協調世界時），官方狀態頁顯示交易所進入「僅可取消」（cancel-only）模式，並暫停 relayer 相關操作；約十八時三十七分官方確認已找出並修復影響國際平台 Polymarket.com 的問題，指「其中一名第三方供應商遭入侵」，已轉介相關執法機關，並寫明「任何受影響人士將獲全數補償」；十九時零五分標記事件已解決，重大中斷歷時約一小時。來源真實性已驗證。

一、核心事件與時間線

官方狀態頁時序

根據 Polymarket Status 事件頁，時間線如下（均為協調世界時、二零二六年十月二十九日）：

  • 十八時零五分（Investigating）：交易所處於僅可取消模式，relayer 操作暫停，官方調查中。
  • 十八時三十七分（Identified）：確認並修復影響國際平台 Polymarket.com 的問題；第三方供應商遭入侵；已轉介執法；承諾受影響用戶獲償；出於審慎暫時停止交易並設法恢復。
  • 十八時五十五分（Monitoring）：預計約美東時間下午三時恢復交易。
  • 十九時零五分（Resolved）：事件已解決；「Predictions」與「Predictions Trading API（CLOB）」標示自十八時零五分至十九時零五分屬重大中斷。

官方並未在狀態頁公布被盜金額、受影響帳戶數，或點名該供應商。

傳媒與鏈上分析補充（非官方數字）

Wired 報道指遭入侵的是一家位於英國的第三方供應商，而非 Polymarket 網站本身，並已通知英國執法單位；平台向 Wired 表示將退款予受影響交易者，但拒絕對外確認損失金額與人數。同一報道引述區塊鏈分析公司 Bubblemaps，指約七百名用戶、約二百七十萬美元資產似受影響。BleepingComputer 則描述攻擊涉及加密貨幣抽款腳本（crypto-draining JavaScript），並指約二百五十萬美元資產被追蹤至可疑攻擊者錢包；The Block 報道數字約二百六十五萬美元。以上金額與人數屬第三方報道或鏈上估算，本文不以之為 Polymarket 官方確認數字。Wired 亦指出 Polymarket 美國受規管平台未受本次事件影響，國際旗艦站與美國站為分開營運的預測市場。

二、技術原理與營運含義

狀態頁措辭聚焦「第三方供應商遭入侵」，而未描述 Polymarket 核心撮合引擎被直接攻破。結合傳媒對「瀏覽器端抽款腳本」的描述，較符合供應鏈／前端依賴被植入惡意程式後，在用戶連線國際站時把授權或資產導向攻擊者地址的攻擊面——亦即風險落在集成的外部服務，而非單一「熱錢包私鑰外洩」敘事。官方迅速切換僅可取消模式並暫停 relayer，屬交易平台常見的緊急止血：先凍結新風險敞口，再修復依賴、對帳與補償。

對營運者而言，這類事件的含義是：即使自有基礎設施看似完好，只要結算、前端注入、錢包連線或 relayer 依賴第三方，攻擊者仍可在用戶瀏覽器或中介層完成盜轉。承諾「made whole」有助穩定市場信心，但同時意味著平台須自行吸收鏈上損失與法幣／穩定幣對沖成本，並接受執法與合規跟進。

三、日常應用場景

1. 開發者與技術團隊

建置預測市場、DEX 前端或嵌入式錢包小工具的團隊，應把第三方腳本、CDN、分析與 relayer SDK 納入與生產程式碼同等的供應鏈監控：鎖定版本雜湊、內容安全政策（CSP）、子資源完整性（SRI），並對異常域名請求設告警。事件響應劇本需預先定義「何時進入 cancel-only／暫停提現／輪替 API 金鑰」，避免臨時決策拖延止血窗口。

2. 企業與隱私敏感行業

涉足 Web3 產品、客戶資產託管或高頻鏈上操作的企業，應把「第三方遭入侵」列為與雲主機漏洞同級的風險：合約上要求供應商安全事件通知時限、審計權與責任上限；技術上對關鍵路徑做多重確認（例如大額操作需硬體錢包或延遲結算）。財務與法務應預演「用戶全額補償」的資金來源與披露口徑，避免事發後才估算敞口。

3. 一般用戶

使用預測市場或 DeFi 前端的用戶，應只從官方書籤進入、啟用硬體錢包或交易限額，並對突如其來的「批准／簽名」請求保持警覺。若平台公布補償安排，應經官方狀態頁或已驗證公告領取，勿點擊社群私訊中的「緊急退款」連結。Polymarket 美國站用戶據 Wired 指未受此次國際站事件波及，但仍宜分開管理各站帳戶與錢包授權。

4. 香港與亞洲市場視角

香港虛擬資產與金融科技團隊若為客戶建預測市場介面、鏈上結算或錢包連線，不能假設「只用不託管前端就無供應鏈風險」。本地合規與客戶盡職審查愈趨重視事件披露與用戶補償能力；把關鍵依賴清單、監控與演練寫進交付物，比事後公關更有說服力。亞洲時區團隊亦應確認狀態頁與值班輪更覆蓋歐美交易高峰，以免僅可取消模式開啟後數十分鐘內無人決策。

四、專業評價與潛在考量

優勢

Polymarket 以公開狀態頁交代調查、確認、恢復與補償承諾，時序清楚，並同步轉介執法，資訊可核對。約一小時內結束重大中斷、聲明受影響用戶獲償，有助降低擠兌式恐慌。區分國際站與美國站受影響範圍，亦減少誤傳。

需要留意的地方

官方尚未在狀態頁公布供應商名稱、技術根因、精確損失與補償時間表；金額數字目前主要來自傳媒與鏈上分析，讀者不應把約二百五十萬至二百七十萬美元當成已審計財報數字。Wired 提及平台於二零二六年六月亦曾出現逾二百萬美元級損失事件，顯示第三方或前端依賴風險並非一次性。在根因報告與獨立驗證出台前，企業客戶宜假設類似攻擊可能再現，並持續收緊腳本與授權面。

結語

當預測市場的前端或中介服務依賴被攻破，用戶資產可以在核心撮合「看似正常」的情況下被抽走；Polymarket 此次以僅可取消模式止血、轉介執法並承諾補償，凸顯 Web3 產品必須把第三方供應鏈納入與智能合約同等級的保安設計。若企業需要在香港規劃錢包連線、鏈上結算、USDT／USDC 收款閘道或交易相關前後端的安全架構與應變流程，可參考 YSK Limited 的香港 Web3 區塊鏈開發服務（https://ysk.hk/services/web3-blockchain）。

參考來源

Related services & products

Related posts