10 月 29 日下午，Polymarket 一批用户发现持仓被卖掉、钱被转走。有人在 X 上喊：「我刚被清空 80 万美元。」平台随即切到只撤单模式，一小时后恢复。先说结论：没人偷私钥，也没人拿到助记词。

破口是一个监控脚本

供应商 DebugBear 做网站性能监控（RUM），它 CDN 上有个 js 被换成了恶意版本：cdn.debugbear.com/C7xcKKrjUnXK.js。Hudson Rock 说得直白：脚本不找密码、不找种子短语，找的是页面里已经在跑的交易客户端和签名器——用户登录后，浏览器里那份现成的权限。

两条路径：有的账户被卖掉仓位、钱转走；有的把仓位代币直接打到攻击者地址。Bitquery 的数据，17:10 到 18:10 UTC 之间，攻击者通过 Polymarket 自己的基础设施执行了 985 次操作。

谁在兜底

GoPlus 说约 271 万美元，Bubblemaps 估到 346 万，700 多个地址受影响。脚本里硬编码的兜底地址上躺着约 265 万美元的 POL。Polymarket 18:05 UTC 停、19:05 恢复，95% 受影响钱包全额赔付，被强平的滑点和暂停期间的亏损也补了。

平台自己的复盘里列了几条：重设全部登录会话，第三方脚本重新部署时加完整性校验，收紧 CSP、锁定版本、上沙箱。注意这几条没有一条是「更强的加密」，全是「别让别人的代码在别人的权限里跑」。

这不是运气问题

四个月前，6 月 25 日，同类型的脚本攻击已经让 Polymarket 丢过约 300 万美元。同一个口子，第二次。

前端只要加载了第三方 JS，那个第三方就等于拿到了站内所有已登录用户的权限。CSP、版本锁定、沙箱，听着无聊，但它们是唯一能挡住这类攻击的东西——而且是平台的责任，不是用户的。

同一周币安热钱包丢了 63 亿，Bitget 丢了 3.88 亿，攻击者借 EIP-7702 拿的同样是签名权限。63 亿和 300 万差 200 倍，破口却在同一层：授权，不是密码学。

行业喊了十年 don’t trust, verify，用户能验的只有域名和界面。界面里塞了谁的代码，用户看不见。

三条

1. 大额资产别留在天天跑第三方脚本的网站钱包，交互完就撤。
2. 看到平台进「只撤单」，先撤单，再断会话。
3. 赔付是善后，不是安全。这次能全赔，是因为只丢了 300 万。

免责声明：以上内容仅供娱乐交流，不构成任何投资建议。DYOR。

#cryptocurrencies #blockchain #pickful