駭客竄改第三方監控業者DNS紀錄，竊走Polymarket用戶270萬美元資產

加密貨幣預測市場平臺Polymarket於10月29日再遭供應鏈攻擊，網站使用的第三方效能監控JavaScript遭惡意程式置換，攻擊者利用使用者已登入的交易工作階段出售交易部位、轉走資產。Polymarket在10月30日公布事故報告，確認遭竊金額為270萬美元，另將賠償120萬美元交易暫停造成的損失。

We've identified & fixed an issue impacting our international platform, Polymarket⁠.com. One of our 3rd party providers was compromised, and we have referred this to relevant law enforcement. Anyone who has been impacted will be made whole. Out of an abundance of caution, we have temporarily halted trading & are working to bring the platform back online.

— Polymarket Traders (@PolymarketTrade) October 29, 2026

網站效能監控業者DebugBear提供的真實使用者監控（RUM）程式，原本用來蒐集網站訪客的網頁載入效能資料。Polymarket在網頁內嵌該程式，遭攻擊期間，瀏覽器仍透過原有DebugBear網址載入JavaScript，取得的內容卻已變成專門針對Polymarket的資產竊取程式。使用者即使開啟的是官方網站，也可能受到攻擊。

惡意程式會檢查使用者的登入狀態，讀取瀏覽器儲存的帳戶及交易資訊，再搜尋網頁React元件內的交易用戶端與簽章器。依照帳戶類型，惡意程式會嘗試直接移轉持有的預測結果代幣，或先賣出交易部位再轉走資金。攻擊主要利用網站既有的交易功能及工作階段授權，不必先取得使用者的錢包私密金鑰。

DebugBear後續說明，該公司的DNS紀錄遭攻擊者透過網域註冊商竄改，初步調查認為攻擊鎖定特定客戶網站，尚未發現內部系統遭入侵的跡象。資安分析也發現，Polymarket的內容安全政策（CSP）原本允許載入DebugBear網域的程式，因此未能攔截遭置換的JavaScript。CSP雖可限制程式載入來源，卻無法單憑網域允許清單確認程式內容是否遭到更換。

事件發生後，Polymarket移除相關程式、清除快取，暫停交易及交易轉送服務，並重設所有有效登入工作階段，目前交易已恢復。該公司計畫為第三方程式加入完整性驗證、版本固定及隔離措施，並已將事件交由執法單位調查，截至10月30日，95%的受影響錢包已獲全額賠付，整體賠償規模為390萬美元。

Polymarket今年6月下旬也曾發生另一起第三方供應鏈攻擊，當時估計少於15個帳號受害，損失約300萬美元。