2026 年 10 月 29 日，Polymarket 國際平台發生第三方供應鏈攻擊：經竄改的網站監控腳本利用使用者已登入的交易工作階段，出售或轉移帳戶資產。這並非攻擊者破解 Polymarket 的智能合約；損失估算約為 250 萬至 270 萬美元，平台則暫停交易約一小時。2615

攻擊如何發生？

Polymarket 表示，一家第三方服務商遭到入侵。研究人員及後續報導將惡意腳本連結至英國網站效能與監控服務商 DebugBear；不過，Polymarket 最初的聲明並未點名該服務商。229

據對 JavaScript 程式碼的分析，該腳本會尋找已登入使用者的交易端與投資組合，並嘗試透過現有工作階段出售或轉移資產。315 換言之，攻擊者利用的是使用者在瀏覽器中已開啟的登入權限，而不是直接攻破底層智能合約。222

國際平台停交易約一小時

調查期間，Polymarket 將國際交易平台設為限制模式，包括只允許取消訂單，並暫停 relayer（代為轉送交易的服務）操作。平台狀態頁記錄，服務於 10 月 29 日 UTC 時間下午 6 時 05 分至 7 時 05 分中斷；換算為美東時間，為下午 2 時 05 分至 3 時 05 分。平台表示交易預計於美東時間下午 3 時左右恢復，之後將事件標示為已解決。41

事件影響的是國際網站 Polymarket.com。有報導稱，另一個美國平台未受影響；但 Polymarket 的狀態更新聚焦於國際平台，並未獨立確認這項區別。2429

損失估算與鏈上追蹤

報導估計損失約為 250 萬至 270 萬美元。不同數字反映報導追蹤的範圍不一：BleepingComputer 追蹤到約 250 萬美元資產流向疑似攻擊者錢包，其他報導則將總損失估在約 270 萬美元。46

鏈上報導追蹤到約 2,860 萬枚 POL，BleepingComputer 估值約為 257 萬美元。這項追蹤顯示的是鏈上可見的資金流向，不能單獨視為每位使用者實際損失的完整結算。6

退款進度與仍待確認的細節

截至 10 月 30 日週五上午，Polymarket 表示 726 個受影響錢包中，已有 689 個獲全額退款；其餘 37 個仍待核實。22 根據轉述平台更新的報導，平台公布的 390 萬美元補償總額，另包含 119 萬美元，預計分配給約 5,500 個因交易中斷或事件期間持倉受影響的錢包。23

部分二手報導稱，損失超過 1 萬美元的使用者須簽署豁免文件。不過，現有資料不足以確認文件的確切條款，也無法證實有關身分查核或不得批評平台等條款的說法，因此這些細節仍應視為未獲確認。2446

安全提醒：第三方程式碼也可能取得網站信任

監控腳本原本可能用於網站營運，但若它能在交易網站中執行並接觸已驗證的功能，就可能成為安全風險。本次事件中，據報導，惡意程式利用了使用者開啟網站時的登入工作階段。322

其中一種可能的防護方式是子資源完整性（Subresource Integrity，SRI）：瀏覽器會比對外部腳本與可信任的雜湊值，若檔案遭修改便拒絕執行。不過，只有在受影響的腳本載入路徑確實正確套用這項檢查時，它才可能發揮作用；SRI 也無法保證防住所有第三方服務或網站遭入侵的情況。44

Polymarket 的狀態頁後續公布了事件經過與應對措施的詳細更新。29 現有報導勾勒出大致攻擊途徑、損失估算與退款進度，但部分退款法律條款及受影響服務的完整範圍仍未明朗。

2026 年 10 月 29 日，Polymarket 國際平台發生第三方供應鏈攻擊：經竄改的網站監控腳本利用使用者已登入的交易工作階段，出售或轉移帳戶資產。這並非攻擊者破解 Polymarket 的智能合約；損失估算約為 250 萬至 270 萬美元，平台則暫停交易約一小時。2615

攻擊如何發生？

Polymarket 表示，一家第三方服務商遭到入侵。研究人員及後續報導將惡意腳本連結至英國網站效能與監控服務商 DebugBear；不過，Polymarket 最初的聲明並未點名該服務商。229

據對 JavaScript 程式碼的分析，該腳本會尋找已登入使用者的交易端與投資組合，並嘗試透過現有工作階段出售或轉移資產。315 換言之，攻擊者利用的是使用者在瀏覽器中已開啟的登入權限，而不是直接攻破底層智能合約。222

國際平台停交易約一小時

調查期間，Polymarket 將國際交易平台設為限制模式，包括只允許取消訂單，並暫停 relayer（代為轉送交易的服務）操作。平台狀態頁記錄，服務於 10 月 29 日 UTC 時間下午 6 時 05 分至 7 時 05 分中斷；換算為美東時間，為下午 2 時 05 分至 3 時 05 分。平台表示交易預計於美東時間下午 3 時左右恢復，之後將事件標示為已解決。41

事件影響的是國際網站 Polymarket.com。有報導稱，另一個美國平台未受影響；但 Polymarket 的狀態更新聚焦於國際平台，並未獨立確認這項區別。2429

損失估算與鏈上追蹤

報導估計損失約為 250 萬至 270 萬美元。不同數字反映報導追蹤的範圍不一：BleepingComputer 追蹤到約 250 萬美元資產流向疑似攻擊者錢包，其他報導則將總損失估在約 270 萬美元。46

鏈上報導追蹤到約 2,860 萬枚 POL，BleepingComputer 估值約為 257 萬美元。這項追蹤顯示的是鏈上可見的資金流向，不能單獨視為每位使用者實際損失的完整結算。6

退款進度與仍待確認的細節

截至 10 月 30 日週五上午，Polymarket 表示 726 個受影響錢包中，已有 689 個獲全額退款；其餘 37 個仍待核實。22 根據轉述平台更新的報導，平台公布的 390 萬美元補償總額，另包含 119 萬美元，預計分配給約 5,500 個因交易中斷或事件期間持倉受影響的錢包。23

部分二手報導稱，損失超過 1 萬美元的使用者須簽署豁免文件。不過，現有資料不足以確認文件的確切條款，也無法證實有關身分查核或不得批評平台等條款的說法，因此這些細節仍應視為未獲確認。2446

安全提醒：第三方程式碼也可能取得網站信任

監控腳本原本可能用於網站營運，但若它能在交易網站中執行並接觸已驗證的功能，就可能成為安全風險。本次事件中，據報導，惡意程式利用了使用者開啟網站時的登入工作階段。322

其中一種可能的防護方式是子資源完整性（Subresource Integrity，SRI）：瀏覽器會比對外部腳本與可信任的雜湊值，若檔案遭修改便拒絕執行。不過，只有在受影響的腳本載入路徑確實正確套用這項檢查時，它才可能發揮作用；SRI 也無法保證防住所有第三方服務或網站遭入侵的情況。44

Polymarket 的狀態頁後續公布了事件經過與應對措施的詳細更新。29 現有報導勾勒出大致攻擊途徑、損失估算與退款進度，但部分退款法律條款及受影響服務的完整範圍仍未明朗。