【Polymarket遭黑客洗劫】供應商遭入侵　國際盤停運1小時　265萬美元加密貨幣被盜

預測市場平台 Polymarket 10月29日（周四）美東時間下午2時左右爆發保安事故，國際交易平台因一間第三方軟件供應商遭入侵而暫停交易，停運時間近1小時，至美東時間下午3時左右恢復。據區塊鏈分析公司 Arkham 數據顯示，約265萬美元（約2,067萬港元）加密貨幣在事故期間從用戶錢包被轉走，事件僅影響 Polymarket 的國際交易平台（Polymarket.com），公司設於美國本土的平台則未受波及。

【供應商現形】英國網站監測平台中招 惡意程式碼借殼入侵

據報道，黑客並非直接攻擊 Polymarket 本身的系統，而是透過一間英國網站效能監測與除錯平台的軟件滲入。消息指涉事供應商為 DebugBear，該公司提供的「真實用戶監測」（RUM）程式碼片段被植入惡意腳本，一旦偵測到用戶已登入交易帳戶，便會嘗試自動平倉持倉並將資金轉走，部分帳戶類型則被直接將持倉代幣轉至黑客控制的地址。值得留意的是，這段惡意程式碼並非盜取用戶密碼，而是直接盜用用戶登入後既有的交易授權執行操作，手法相當隱蔽。DebugBear 公開確認平台正受到「持續保安事故」影響，並呼籲所有客戶網站盡快移除其程式碼片段。區塊鏈保安機構亦分別統計出受攻擊錢包地址及涉案金額，數字介乎約219萬至271萬美元之間，惟具體受害帳戶數目目前仍未有官方確切定論。

【公司回應】承諾全額賠償 轉介英國執法部門

事故曝光後，Polymarket 發聲明確認問題源頭為第三方供應商遭入侵，並承諾「將全額賠償所有受影響的交易者」，形容公司會「做好這件事」（we’ll make this right）。公司暫未公開披露受影響帳戶的確實數目及損失金額的官方版本，但已將事件轉介英國執法部門處理，因應攻擊源頭疑似來自英國。截至目前，Polymarket 未有進一步公開賠償的具體時間表及操作方式，僅重申會逐一處理受影響用戶的申索。對於依賴第三方供應商提供網站功能的交易平台而言，今次事件再次暴露「供應鏈攻擊」的風險 — 即使平台自身系統未被突破，只要合作夥伴的程式碼被植入惡意內容，用戶資產仍可在毫不知情下被轉走。

【估值高峰遇襲】融資熱潮未散 210億美元估值承壓

今次保安事故發生的時間點格外敏感。公開資料顯示，Polymarket 上月（9月）剛公布一輪規模約10億美元（約78億港元）的新融資，由美國總統特朗普長子唐納德（Donald Trump Jr.）擔任合夥人的風險投資公司1789 Capital 領投約3億美元（約23.4億港元），令公司估值由今年4月的150億美元，一舉推高至約210億美元（約1,638億港元），升幅逾四成。1789 Capital 在這輪融資前已向 Polymarket 投資約2億美元，Donald Trump Jr. 本人則同時擔任 Polymarket 及競爭對手 Kalshi 的顧問。在融資熱潮與估值急升的背景下爆發用戶資產被盜事故，無疑令市場重新審視預測市場行業在高速擴張之下，資安基建是否同步跟上。

這次事故規模雖然遠不及加密貨幣史上的巨型盜竊案，但象徵意義不小 — 一間剛獲政治人脈加持、估值直逼200億美元的獨角獸平台，防線竟敗在一個網站效能監測工具身上。對用戶而言，公司承諾的「全額賠償」能否不折不扣落實，將是檢驗這家新晉巨企是否配得上龐大估值的下一塊試金石。

免責聲明：本專頁刊載的所有投資分析技巧，只可作參考用途。市場瞬息萬變，讀者在作出投資決定前理應審慎，並主動掌握市場最新狀況。若不幸招致任何損失，概與本刊及相關作者無關。而本集團旗下網站或社交平台的網誌內容及觀點，僅屬筆者個人意見，與新傳媒立場無關。本集團旗下網站對因上述人士張貼之資訊內容所帶來之損失或損害概不負責。