發生什麼事
預測市場平台 Polymarket（可就事件結果進行交易的平台）於台北時間 10 月 30 日凌晨進入 cancel-only（僅能取消委託，使用者可撤銷既有委託、不能下新單）模式，並暫停 relayer（代用戶送出鏈上交易的中繼服務）動作。官方狀態頁（公開服務運作狀況的網頁）將 Predictions Trading API（交易用的程式介面）標為重大中斷、調查中，並註明為 CLOB（中央限價委託簿，交易所撮合委託的機制）。動區動趨指出，當時社群同步出現前端可能遭竄改、資產遭未經授權提領的用戶回報，官方尚未確認前端入侵與損失金額。 動區動趨 BlockTempo
動區動趨另一則報導指出，同一狀態頁其後把事故進度改為「已識別」，說明影響國際站 Polymarket.com 的問題已找到並修復。平台表示其中一家第三方供應商遭入侵，相關情資已移交執法單位；受影響者將獲補償（made whole）；出於謹慎，交易暫時停止，團隊正努力恢復上線。該報導記載，狀態頁在 UTC 10 月 29 日下午 6 時 05 分進入調查與 cancel-only，台北時間約凌晨 2 時 05 分；改為「已識別」的時間為凌晨 2 時 37 分。 原文
iThome 報導了攻擊手法。這是一起供應鏈攻擊（經由第三方軟體或服務入侵目標），Polymarket 網站內嵌的第三方效能監控 JavaScript（網頁程式碼）遭惡意程式置換。該程式來自 DebugBear（網站效能監控業者）的 RUM（真實使用者監控，用來蒐集訪客的網頁載入效能資料）。遭攻擊期間，瀏覽器仍透過原有 DebugBear 網址載入，內容卻已變成針對 Polymarket 的資產竊取程式。惡意程式會檢查登入狀態，並搜尋網頁 React（網頁前端開發框架）元件內的交易用戶端與簽章器，再依帳戶類型直接移轉預測結果代幣，或先賣出交易部位再轉走資金。報導指出，攻擊主要利用網站既有的交易功能及工作階段授權，不必先取得使用者的錢包私密金鑰。 iThome
DebugBear 後續說明，其 DNS（網域名稱系統，把網址對應到伺服器位置）紀錄遭攻擊者透過網域註冊商竄改。該公司初步調查認為攻擊鎖定特定客戶網站，尚未發現內部系統遭入侵的跡象。iThome 引述資安分析稱，Polymarket 的 CSP（內容安全政策，限制網頁可載入程式的來源）原本允許載入 DebugBear 網域的程式，因此未能攔截遭置換的 JavaScript。 原文
iThome 報導，Polymarket 於 10 月 30 日公布事故報告，確認遭竊金額為 270 萬美元，另將賠償 120 萬美元交易暫停造成的損失。事發後，該公司移除相關程式、清除快取、暫停交易及交易轉送服務，並重設所有有效登入工作階段，報導指出目前交易已恢復。截至 10 月 30 日，95% 的受影響錢包已獲全額賠付，整體賠償規模為 390 萬美元。 原文
誰受影響
iThome 指出，攻擊者利用使用者已登入的交易工作階段，使用者即使開啟的是官方網站，也可能受到攻擊。動區動趨引述官方狀態頁，說明受影響的是國際站 Polymarket.com，受影響用戶承諾獲補償；該媒體也寫道，交易暫停期間，持倉用戶暫時無法正常進出場。 iThome 動區動趨 BlockTempo
限制與未定事項
iThome 報導，Polymarket 計畫為第三方程式加入完整性驗證（確認程式內容未被更換）、版本固定及隔離措施。事件已交由執法單位調查。DebugBear 對 DNS 遭竄改與攻擊對象的說法，來源明寫為初步調查。 iThome
各方說法
事發初期，動區動趨引述加密媒體 CryptoBriefing 指出，用戶回報損失約在數十萬美元量級，但數字尚未證實，平台也未就前端遭入侵發出正式說明。其後 iThome 報導 Polymarket 事故報告確認遭竊 270 萬美元。兩者是不同時間點的資訊，並非同一時點的矛盾說法。 動區動趨 BlockTempo iThome
兩家媒體都提到 Polymarket 今年 6 月另有一起第三方供應鏈攻擊，這與本次是不同事件，寫法也略有差異。動區動趨寫為約 11 個錢包損失約 310 萬美元 pUSD（該媒體稱其為與 USDC 1:1 錨定、用於交易與結算的代幣；USDC 為美元穩定幣），平台承諾全額退款。iThome 則寫為 6 月下旬，估計少於15個帳號受害，損失約300萬美元。動區動趨並認為本次與該事件敘事高度相近，破口在網站與第三方依賴，而非合約本身，這是該媒體的看法。 動區動趨 BlockTempo iThome
接下來要看的事
- Polymarket 計畫為第三方程式加入完整性驗證、版本固定及隔離措施，後續是否落實
- 事件已交由執法單位調查，後續進展
- Polymarket 將賠償的 120 萬美元交易暫停損失，以及整體賠償進度
