Polymarket 300萬美元供應鏈駭客攻擊：資金盜竊與誠信危機

2026年6月25日，Polymarket 遭遇供應鏈攻擊，約300萬美元用戶資金被盜。這起事件距離《華爾街日報》揭露該平台花錢請創作者偽造贏錢影片僅5天，使得一次單純的安全漏洞，迅速演變成一場信譽雪崩，外界開始質疑平台的營運誠信、供應商管理以及對用戶的保護承諾。

300萬美元如何被盜？

駭客攻擊了 Polymarket 一個未具名的第三方供應商，該供應商負責平台的前端網站。取得權限後，駭客在前端注入了惡意 JavaScript 程式碼，對部分用戶發動了釣魚式攻擊。平台的核心智能合約和區塊鏈基礎設施並未被攻破 —— 這次入侵純粹是前端的供應鏈攻擊 。

關鍵技術細節包括：

• 攻擊目標：惡意腳本鎖定了不到15個帳戶，區塊鏈數據分析公司 Bubblemaps 指出，至少有11個錢包被盜 。
• 被盜資產：被盜的是 pUSD（Polymarket 在 Polygon 網絡上的橋接 USDC）。駭客將資金從 Polygon 跨鏈到以太坊，並兌換成約 1,893 ETH 。
• 損失估計：獨立安全分析師 Specter 確認的損失約為 294萬美元，而 Polymarket 及其他多家媒體的報導則四捨五入為約300萬美元 。

這次攻擊暴露了加密貨幣平台的一個典型弱點：即使區塊鏈智能合約本身是安全的，第三方依賴關係也可能引入漏洞。由於惡意程式碼是在真正的 Polymarket 網域上運行的，用戶在與合法網站互動時，被引導批准了詐騙交易 。

Polymarket 採取了哪些安全措施？

Polymarket 即時在 X/Twitter 上發布公告，採取的應對措施包括：

• 立即控制並移除了遭入侵的第三方前端元件
• 全額退款給所有受影響用戶——公司承諾賠償所有受害者
• 正在進行調查，但 Polymarket 拒絕透露涉事供應商的名稱

公司的反應相當迅速——在事發當日上午就發現並確認了這次入侵。然而，這已是 Polymarket 在不到兩個月內發生的第二起安全事件。2026年5月中旬，該平台曾因私鑰洩露導致內部錢包被駭，損失約70萬美元 。那次事件雖然沒有直接影響用戶資金，但已預示了 Polymarket 營運安全上的弱點，這次供應鏈攻擊則徹底印證了這些疑慮。

虛假行銷醜聞

就在駭客攻擊發生前幾天，2026年6月20日，《華爾街日報》發表了一篇重磅調查報導，揭露 Polymarket 付費給社群媒體創作者，製作他們在平台上贏得大筆金額的假影片 。

WSJ 調查的主要發現：

• 分析師審查了社群平台上 1,105 部關於 Polymarket 的影片。其中有 778 部展示了在克隆網站上的假賭注——這些影片無一使用真實的 Polymarket 交易所 。
• 這些影片號稱的總中獎金額高達 190萬美元 。
• Polymarket 為創作者提供了如何策劃假賭注的指導材料 。
• 2026年6月26日——也就是駭客攻擊的隔天——全國消費者權益協會提起訴訟，指控 Polymarket 策劃虛假行銷、支付祕密廣告費用，並在隱瞞輸錢機率的同時，積極鎖定大學生作為目標 。
• Polymarket 回應表示正在審查其所有推廣內容 。

WSJ 的報導詳細指出，一家名為 Virality 的行銷公司管理著這個創作者網絡，每月支付創作者 2,000 到 3,000 美元——但前提是他們的觀眾中至少有 60% 必須來自美國，儘管預測市場在美國的監管地位仍不明確 。

雙重危機如何相互加劇

接連而來的醜聞，從幾個層面共同侵蝕了用戶對 Polymarket 的信任：

層面	影響
安全性信任	兩個月內兩起漏洞——5月的內部錢包事件與6月的300萬美元供應鏈攻擊——顯示其第三方供應商風險管理嚴重不足
營運誠信	假影片醜聞證明 Polymarket 曾刻意誤導大眾。用戶現在有理由懷疑，任何推廣內容，甚至平台上的市場數據，是否都可能是偽造的
監管風險	消費者權益訴訟加上駭客攻擊，為監管機構採取行動提供了更充分的理由。Polymarket 早已處於商品期貨交易委員會 (CFTC) 的審查之下，並在2024年因經營未註冊交易所而與美國證券交易委員會 (SEC) 達成14億美元的和解協議
用戶信心	一個既會偽造贏錢結果，又無法保護其前端免受已知攻擊類型（供應鏈 JS 注入）侵襲的平台，很難讓用戶放心地投入真實資金

時間點至關重要：駭客攻擊發生在WSJ 調查報導發布的5天之後，這意味著安全漏洞立即驗證了那些批評者的論點——他們認為 Polymarket 的營運和道德標準早已鬆散不堪。該公司現在同時面臨安全、法律與信譽的三重危機，且短期內似乎找不到重建用戶信任的明確途徑。

對加密貨幣平台的廣泛啟示

Polymarket 的供應鏈攻擊是加密貨幣安全領域一個更廣泛趨勢的縮影。針對第三方供應商的供應鏈攻擊日益常見，因為它們能繞過區塊鏈基礎設施本身強大的安全性。這次的攻擊手法——透過受損的前端依賴注入惡意 JavaScript——雖然是已知漏洞，但如果沒有嚴格的供應商審查和程式碼完整性控制，仍然難以防範 。

對於任何與加密平台互動的用戶而言，Polymarket 事件凸顯了幾個教訓：

• 僅有智能合約安全是不夠的，如果前端依賴關係被攻陷
• 第三方供應商的風險需要持續監控，而非僅在合作初期進行盡職調查
• 短時間內連續發生多起安全事件，通常反映出系統性的弱點，而非偶然的個別失誤

Polymarket 事件也突顯了，當安全漏洞緊接在虛假行銷曝光之後發生，對品牌聲譽的傷害是何等巨大。用戶可能會想：如果一個平台願意向大眾隱瞞真實的賭注結果，那還有什麼是他們不願意隱瞞的呢？

Polymarket 已承諾全額退款，但該公司至今仍未公布被入侵的供應商名稱，也未說明未來將如何防止類似事件再次發生 。在缺乏透明度和實質性安全改進的情況下，重建用戶信任之路將格外漫長。