Polymarket 确认第三方遭入侵；研究人员发现 DebugBear 脚本盗币逻辑
Polymarket 确认服务商遭入侵，并承诺赔付。Hudson Rock 在 DebugBear 脚本中发现针对已登录交易用户的资产窃取代码。交易已恢复；总损失及受影响人数仍未核实。
- 披露时间
- 2026年10月29日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 加载恶意脚本的 Polymarket.com 已登录用户；DebugBear RUM 客户应移除嵌入代码
- web
- 在野利用
- 已发现
- Polymarket 确认服务商遭入侵，并承诺赔付受影响用户。
发生了什么
Polymarket 国际平台于 10 月 29 日确认服务商遭入侵，并承诺赔付受影响用户。状态页现已将中断标记为已解决。评为 L4 是因为发生了真实入侵，而非仅有理论漏洞。
Hudson Rock 将恶意脚本追溯到 DebugBear 的分发 URL。样本复用已登录应用的交易客户端和签名器，尝试转移持仓代币，或卖出持仓后转移资产。这不能证明每次签名请求都会静默成功，也不能证明私钥被导出或智能合约遭攻破。移除脚本不能证明每个已打开的会话均已安全。
平台通知未点名服务商；DebugBear 则独立确认了安全事件。确切暴露窗口、初始入侵方式及受影响人数仍不清楚。钱包余额和个别用户自报损失都不能代表被盗总额。这是独立的 10 月事件，不能套用 6 月事件的数据。
案发时间线
10月29日 18:05 UTC
Polymarket 暂停新交易和 relayer 操作
10月29日 18:37 UTC
Polymarket 确认服务商遭入侵并承诺赔付
10月29日 19:05 UTC
官方状态历史将事件标记为已解决
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Polymarket 官方状态历史一手来源记录 10 月 29 日的暂停交易、服务商入侵、赔付承诺及解决状态，并明确标注 UTC 时间。
- Hudson Rock 研究报告一手来源静态分析发现会话复用及资产转移逻辑；通过公开索引阅读了指标和财务证据的局限。直接获取页面返回 403。
- DebugBear 安全通知厂商原始通知；通过下方 X 官方嵌入副本阅读。
- DebugBear 通知的 X 官方嵌入副本一手来源DebugBear 确认正在遭遇安全事件，要求 RUM 客户移除嵌入代码。