Polymarket遭供应链攻击，300万美元资金被盗

核心提要：第三方服务商被攻陷导致Polymarket平台出现严重安全漏洞，黑客通过恶意代码从超11名用户处盗取约300万美元。平台已承诺全额赔偿，并移除受影响依赖项，事件引发对前端层安全的广泛担忧。

第三方服务商失守致平台遭链上欺诈，逾百万元资产被窃

一起源于外部服务供应商的系统入侵，使攻击者得以在Polymarket的网页界面中嵌入恶意脚本，诱骗超过11名用户授权虚假交易，造成约300万美元资金流失。该平台已封锁漏洞源头并启动全额赔付机制，但此次事件再次暴露了前端安全在去中心化应用中的脆弱性。

攻击路径剖析：从外部依赖切入的隐蔽渗透

据披露，攻击者并未直接突破Polymarket的核心系统，而是利用一个被劫持的第三方服务组件，将其代码注入平台前端页面。当用户访问时，加载的页面包含伪装成正常操作的签名请求，诱导其签署非法交易指令，从而将钱包控制权交予攻击者。这一手法属于典型的供应链攻击，凸显了现代Web3生态对开源依赖的高度敏感。

为何前端成为新型攻击温床？

尽管智能合约本身未被篡改，且链上资金未遭直接动用，但所有损失均来自用户主动批准的交易行为。区块链安全机构Peckshield评估损失金额约为300万美元，涉及至少11名受害者。由于攻击发生在用户可见的浏览器端，而非底层协议层面，这使得传统审计手段难以提前识别风险。目前，Polymarket已彻底下线相关依赖模块，恢复系统自主管控能力。

监管趋严叠加安全挑战，行业进入高危期

当前预测市场正面临前所未有的监管压力。美国商品期货交易委员会（CFTC）已对肯塔基州提起诉讼，质疑其将预测市场归类为体育博彩的合法性，引发联邦与州级立法权的冲突。与此同时，Polymarket和Kalshi等平台交易量持续攀升，2026年4月创下新纪录，累计处理交易超一亿笔。在此背景下，此类前端攻击不仅考验技术防御，更放大了合规与信任危机。平台虽部署Chainalysis进行监控，但本次事件表明，仅靠后端风控无法应对日益复杂的前端威胁。

此次事件揭示出一个关键命题：即使智能合约绝对安全，前端交互环节仍可能成为整个系统的致命弱点。尽管平台迅速采取赔偿措施以稳定信心，但用户对界面可信度的疑虑仍在加剧，推动行业重新审视前端安全性标准。