Predict.fun 确认钱包未授权转账；研究显示提款由所有者密钥签署
Predict.fun 确认约 40 万 USDT 的未授权转账。Bitquery 追踪 10 月 22 日和 27 日两波共 29 个钱包，发现所有者密钥签名，而非利用市场合约的调用。第三方 API 文档网站入侵仍是初步解释。
- 披露时间
- 2026年10月27日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- Predict.fun 智能钱包用户，尤其为 API 交易导出过 Privy 所有者密钥者；具体暴露路径未知
- crypto
- 在野利用
- 已发现
- Predict.fun 确认未授权转账，Bitquery 记录了实际钱包资产转出。
发生了什么
公开披露日期为 10 月 27 日，研究人员将活动追溯到 10 月 22 日。Bitquery 报告两波攻击共从 29 个钱包转走 397708 USDT，金额的大致规模与平台声明相符。精确钱包数量及追踪结论来自研究方，尚未在该调查之外独立核实；其观察窗口截至 10 月 27 日。
签名表明有人使用了所有者密钥权限，并不能说明密钥如何获得。Bitquery 在所查转出中未发现市场合约调用。为 API 交易导出的所有者密钥与第三方文档网站之间的关联是解释，不是已证明的窃钥机制，也不代表 Privy 本身被攻破。L4 基于已确认的未授权转账。
声明后仍有一次资产转出，说明下线文档网站无法使已复制的密钥失效。研究报告的是赔付承诺，并非已完成退款。本事件独立于之后的币安及 Polymarket 事件，没有证据证明攻击者或根因相同。
案发时间线
2026年10月22日
Bitquery 事后识别出更早的一波资产转出
2026年10月27日
第二波转出公开；Predict.fun 确认未授权转账
2026年10月27日
Bitquery 记录到平台声明后仍发生一次资产转出
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Predict.fun official acknowledgment一手来源官方可见文本确认约 40 万 USDT 未授权转账；关于文档供应商的解释被截断，不能视为已证实根因。
- Bitquery original investigation一手来源追踪所有者密钥签署的转出，区分钱包被盗与市场合约利用。统计 397708 USDT、29 个钱包；数据截至 10 月 27 日，并非当前最终损失审计。