Polymarket 确认第三方遭入侵；研究人员发现 DebugBear 脚本盗币逻辑

Polymarket 国际平台于 10 月 29 日确认服务商遭入侵，并承诺赔付受影响用户。状态页现已将中断标记为已解决。评为 L4 是因为发生了真实入侵，而非仅有理论漏洞。

Hudson Rock 将恶意脚本追溯到 DebugBear 的分发 URL。样本复用已登录应用的交易客户端和签名器，尝试转移持仓代币，或卖出持仓后转移资产。这不能证明每次签名请求都会静默成功，也不能证明私钥被导出或智能合约遭攻破。移除脚本不能证明每个已打开的会话均已安全。

平台通知未点名服务商；DebugBear 则独立确认了安全事件。确切暴露窗口、攻击者如何取得注册商访问权限及受影响人数仍不清楚。下方平台后续数字取代了此前缺少厂商损失估算的状态；钱包余额和个别自报损失不能代表损失总额。这是独立的 10 月事件，不能套用 6 月事件的数据。

10 月 30 日复盘： Polymarket 报告已移除脚本、清理缓存并重置活跃会话。平台将 270 万美元列为被盗资金，120 万美元列为暂停交易相关损失：390 万美元是总赔付，并非被盗金额。当时 95% 的退款进度包含被盗钱包退款及善意补偿。这些是平台数字，不是独立审计。平台还说明正在加强脚本完整性控制，并继续调查。

DebugBear 10 月 30 日进展： 服务商称其 DNS 记录经域名注册商遭到篡改。初步调查指向一个客户网站，目前未发现内部系统遭入侵的证据，调查仍在继续。这不能证明其他客户未受影响，也不代表可以安全恢复监控脚本。DebugBear 还称当时其域名无法接收邮件；应关注其公开更新，不要假定支持邮件已被收到。

链上范围快照： Bitquery 针对主要路径统计到 737 个被盗账户、985 笔提款，另有 33 个账户发生持仓代币转移，数据截至 10 月 29 日 19:49 UTC。这些是研究定义的账户，不是独立人数；未核对重叠前不能将 33 与 737 相加。约 273 万美元是使用当时兑换价格计算的特定路径估算，不能再加到 Polymarket 已公布的 270 万美元被盗金额或 390 万美元总赔付中。该快照不反映后续退款，也不能确定当前暴露人群。

11 月 4 日 Polygon 治理提案： 原始论坛提案称，出块者阻断的五个地址持有两起事件相关约 7049 万枚原生 POL，其中 Polymarket 四地址参考余额合计 23,862,736.07 POL，Binance 单地址为 46,626,593.27 POL。提案请求一次性协调硬分叉，将指定余额转至各方验证过的恢复地址，供应量不变；其他代币和 Class B 地址不在转移范围。它要求治理批准、余额复核、恢复地址控制权验证及 Amoy 演练，客户端版本、分叉名称和主网激活区块均未确定。11 月 5 日 14:30 UTC 是计划讨论时间，并非激活承诺。作者关于地址归属及阻断状态的说明不是本轮独立链上取证，不能证明硬分叉已批准、资产已转回或客户已额外获赔；两案份额不能相加为本事件损失，也不能与既有冻结、回填或赔付重复计算。

SEAL 11 月 4 日的周报称，有两名受影响者联系其响应团队，团队完成了一次资产冻结。周报未给出金额，也未将该冻结与某一 Polygon 地址关联。该冻结应与用户退款及拟议的原生 POL 追回措施分开统计。