Arkham数据显示疑似Polymarket攻击者地址曾持有约265万美元POL并转出
据The Block及Decrypt报道，Arkham数据显示，疑似Polymarket攻击者地址（0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18）将所得USDC.e与USDC兑换为POL，一度持有约265万美元POL。Polygonscan显示，该地址随后已分多笔转出大量POL。
网络安全公司Hudson Rock称，该地址被硬编码在网页性能监测服务DebugBear托管的一段含钱包盗取代码的脚本中，作为备用收款地址。Polymarket生产构建记录显示已移除该DebugBear脚本。此前，Polymarket称一家第三方服务商遭入侵，受影响用户将获全额赔付。
据Decrypt报道，这是Polymarket今年第三起安全事件。此前5月内部钱包遭入侵损失约70万美元，6月第三方供应商前端被入侵估计损失约300万美元，公司均承诺赔付。
原始来源：
标题：Polymarket Pauses Trading as Prediction Market Investigates Security Incident 发布者：Decrypt 发布日期：2026-10-29 URL：https://decrypt.co/382185/polymarket-pauses-trading-prediction-market-security-incident 来源性质：媒体报道 核验情况：本次实际读取全文，核验日期2026-10-29 支持内容：Arkham数据显示疑似攻击者地址持有约265万美元POL；Hudson Rock称DebugBear脚本含钱包盗取代码并硬编码该地址为备用收款地址；Polymarket已移除该脚本
标题：Polymarket Breach Alert: Wallet-Draining Code Found in a Third-Party Script 发布者：Hudson Rock / InfoStealers 发布日期：2026-10-29 URL：https://www.infostealers.com/article/polymarket-breach-alert-wallet-draining-code-found-in-a-third-party-script/ 来源性质：安全研究分析 核验情况：本次实际读取全文，核验日期2026-10-29 支持内容：Hudson Rock检索DebugBear脚本发现钱包盗取逻辑，硬编码备用收款地址为0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18；Polymarket构建记录显示移除该脚本
标题：Polymarket says hackers stole users' funds 发布者：TechCrunch 发布日期：2026-06-25 URL：https://techcrunch.com/2026/06/25/polymarket-says-hackers-stole-users-funds/ 来源性质：媒体报道 核验情况：本次实际读取全文，核验日期2026-10-29 支持内容：6月第三方供应商被入侵导致前端注入恶意脚本，PeckShield估计约300万美元损失，公司承诺全额赔付
ABAB AI 解读
Arkham与Polygonscan数据指向地址0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18在事件期间接收并兑换资产为POL，峰值约265万美元，随后转出。Hudson Rock的分析将此地址与DebugBear托管脚本中的硬编码收款地址对应，该脚本被描述为读取用户会话并尝试出售持仓或转移资产。Polymarket构建元数据记录了该脚本的移除。
资本路径上，攻击通过第三方前端脚本实现，而非直接破解智能合约。脚本在用户已登录的官方网站会话中运行，利用现有交易权限出售持仓或批量转移代币。资金随后通过中继服务兑换为POL并转出。官方未确认总损失或受影响账户数，第三方估计与用户报告（如Car称80万美元）构成外部观察。
可比案例是Polymarket今年5月与6月的事件：5月为内部充值钱包私钥泄露，约70万美元；6月为第三方供应商前端注入，估计约300万美元从少数账户转出。两次均承诺赔付，且未涉及核心合约被直接攻破。此次事件模式与6月相似，均为供应链前端依赖被利用。
此次事件改变的是预测市场平台对第三方监控脚本的依赖暴露：性能监测工具被替换为盗取逻辑后，用户在官方域名上的操作即可导致资产转移。对Polymarket而言，全额赔付维持信任，但未披露具体服务商与损失总额使外部核验依赖链上与第三方分析。观察指标是后续赔付进展、执法调查是否公开更多细节，以及平台对第三方脚本的依赖是否调整。
ABAB News · 认知定律
第三方监控脚本被替换后，可在用户已登录的官方网站会话中执行持仓出售与资产转移。
链上地址持有峰值与转出记录提供外部观察，但官方未确认总损失数字。
今年三次安全事件中两次涉及第三方前端，核心合约本身未被直接攻破。