测速脚本被换掉，700多个交易员一小时丢了270万美元
10月29日，预测市场 Polymarket 的国际站出了一件很反直觉的事。被偷钱的人没有点钓鱼链接，没有交出助记词，合约也没有被攻破。他们只是像平时一样打开了 Polymarket 的网页，登录状态还在，钱就被人用他们自己的账号转走了。
问题出在一个测速脚本上。Polymarket 网页里嵌了英国公司 DebugBear 的真实用户监测脚本，本来是用来测页面加载速度的。这种脚本跑在每个访客的浏览器里，权限和网站自己的代码基本一样。10月29日那天，DebugBear 的域名记录在注册商那里被人改了，另一台服务器开始应答，送到用户浏览器里的不再是测速文件，而是一个约 15KB 的盗币程序。研究方两次下载到的都是同一份恶意文件。
这个程序的偷法很省事。它读浏览器里存着的登录类型、钱包地址和交易凭证，找到页面里 Polymarket 自己的交易客户端，借用它来操作。持仓被卖掉换成 Polygon 的 POL，再走平台自己的免 gas 中继送出去。链上记录显示，17点10分到 18点10分这一个小时里出现了 985 笔未经授权的提款，攻击者钱包收到了 2860 万枚 POL，按当时价格约 264 万美元。分析公司 Bubblemaps 和 Bitquery 给出的总数约 270 万美元，受影响账户 700 多个。不同口径差几万美元，丢钱的规模本身没有争议。
Polymarket 当天下午 2 点 05 分把国际站切成仅可撤单，约 3 点 05 分恢复交易。公司公开说法只说一家第三方供应商被攻破，已经交给执法部门，受影响用户会全额赔付。后来公布的赔付合计约 390 万美元，其中约 270 万美元给直接被偷的钱包，另外约 119 万美元给暂停期间受损的约 5500 个钱包，不用用户自己去申领。美国站单独运营，这次没有受影响。域名怎么被改的，目前还没有完整说法。
有一点值得单独拎出来。Hudson Rock 检查的那份样本里，没有发现单独往外传助记词或者私钥的程序。这次偷钱不需要偷钥匙，登录着的浏览器会话本身就是通行证。这已是它今年第二次栽在第三方身上，6 月那次也是前端代码被换。合约钱包管得再严，也可能管不住网页上别人的代码。
对散户来说，这件事把防盗清单的第一条改了。以前清单是认准大平台、不点钓鱼链接、助记词不离身，现在要加一条，交易页本身也可能在你不知情时变样。你一直开着的交易页和留在浏览器里的登录状态，都是能被借用的东西。钱放在交易账户里过夜，和放在自己钱包里，风险根本不是一回事。
我自己从这件事里记了三条。交易完就退出登录，别让交易页整天挂在浏览器里。大额资金别长期留在交易账户余额里，用完就提回自己能控制的地方。页面突然开始自己卖持仓或者弹出没见过的授权，先关页面断开连接，别顺着它的提示继续点。
我的观点很直接，以后看一个平台，别只问它合约审没审计，还要问它网页上跑了多少别人的代码，出了事能不能立刻把这些代码全掐掉。答不上来的平台，我不会把大钱留在登录状态里。你平时交易完会退出登录吗，还是页面一直挂着？
—— web3韭菜小凯
本文仅为个人观点分享，不构成任何投资建议，数据来源 Polymarket 公开表态与 Hudson Rock、Bitquery、Bubblemaps 的公开追踪，不同口径的金额略有差异，请自行判断风险。
#Polymarket #DeFi安全 #供应链攻击 #钱包安全
10月29日，预测市场 Polymarket 的国际站出了一件很反直觉的事。被偷钱的人没有点钓鱼链接，没有交出助记词，合约也没有被攻破。他们只是像平时一样打开了 Polymarket 的网页，登录状态还在，钱就被人用他们自己的账号转走了。
问题出在一个测速脚本上。Polymarket 网页里嵌了英国公司 DebugBear 的真实用户监测脚本，本来是用来测页面加载速度的。这种脚本跑在每个访客的浏览器里，权限和网站自己的代码基本一样。10月29日那天，DebugBear 的域名记录在注册商那里被人改了，另一台服务器开始应答，送到用户浏览器里的不再是测速文件，而是一个约 15KB 的盗币程序。研究方两次下载到的都是同一份恶意文件。
这个程序的偷法很省事。它读浏览器里存着的登录类型、钱包地址和交易凭证，找到页面里 Polymarket 自己的交易客户端，借用它来操作。持仓被卖掉换成 Polygon 的 POL，再走平台自己的免 gas 中继送出去。链上记录显示，17点10分到 18点10分这一个小时里出现了 985 笔未经授权的提款，攻击者钱包收到了 2860 万枚 POL，按当时价格约 264 万美元。分析公司 Bubblemaps 和 Bitquery 给出的总数约 270 万美元，受影响账户 700 多个。不同口径差几万美元，丢钱的规模本身没有争议。
Polymarket 当天下午 2 点 05 分把国际站切成仅可撤单，约 3 点 05 分恢复交易。公司公开说法只说一家第三方供应商被攻破，已经交给执法部门，受影响用户会全额赔付。后来公布的赔付合计约 390 万美元，其中约 270 万美元给直接被偷的钱包，另外约 119 万美元给暂停期间受损的约 5500 个钱包，不用用户自己去申领。美国站单独运营，这次没有受影响。域名怎么被改的，目前还没有完整说法。
有一点值得单独拎出来。Hudson Rock 检查的那份样本里，没有发现单独往外传助记词或者私钥的程序。这次偷钱不需要偷钥匙，登录着的浏览器会话本身就是通行证。这已是它今年第二次栽在第三方身上，6 月那次也是前端代码被换。合约钱包管得再严，也可能管不住网页上别人的代码。
对散户来说，这件事把防盗清单的第一条改了。以前清单是认准大平台、不点钓鱼链接、助记词不离身，现在要加一条，交易页本身也可能在你不知情时变样。你一直开着的交易页和留在浏览器里的登录状态，都是能被借用的东西。钱放在交易账户里过夜，和放在自己钱包里，风险根本不是一回事。
我自己从这件事里记了三条。交易完就退出登录，别让交易页整天挂在浏览器里。大额资金别长期留在交易账户余额里，用完就提回自己能控制的地方。页面突然开始自己卖持仓或者弹出没见过的授权，先关页面断开连接，别顺着它的提示继续点。
我的观点很直接，以后看一个平台，别只问它合约审没审计，还要问它网页上跑了多少别人的代码，出了事能不能立刻把这些代码全掐掉。答不上来的平台，我不会把大钱留在登录状态里。你平时交易完会退出登录吗，还是页面一直挂着？
—— web3韭菜小凯
本文仅为个人观点分享，不构成任何投资建议，数据来源 Polymarket 公开表态与 Hudson Rock、Bitquery、Bubblemaps 的公开追踪，不同口径的金额略有差异，请自行判断风险。
#Polymarket #DeFi安全 #供应链攻击 #钱包安全
