Polymarket 周五确认，一家被攻击的第三方供应商允许攻击者向其前端注入恶意代码，从不到 15 个用户账户中窃取了约 300 万美元。
该平台表示将全额退款给所有受影响的用户。
发生了什么
这次攻击最早是由链上安全研究员 Specter 发现的，他发布消息称，明显的网络钓鱼活动已从持有 Polymarket 的 PUSD 稳定币的 11 个以上受害者钱包中窃取了资金。
当时，他们估计损失为 294 万美元，PeckShield 随后确认了这一数字，并指出攻击者已将被盗资金从 Polygon 转移到以太坊，并将其转换为 1,893 ETH。
该预测市场通过其官方账户 Polymarket Traders 承认了这一漏洞。
“今天早上我们发现一家第三方供应商遭到攻击，向我们的前端注入了恶意脚本，影响了一些用户。我们已控制住并移除了受影响的依赖项，”它在 X 上写道。“我们正在联系受影响的用户，并全额退款。”
与该平台密切合作的 William LeGate 重申了有关赔偿的消息，重申问题已得到解决，受影响的用户将全额退还他们的钱。
另一个区块链安全账户 GoPlus Security 将此事件描述为供应链攻击。它表示恶意代码影响了大约 15 个账户，损失总计 300 万美元，这一结论也得到了 Bubblemaps 的认可，后者赞扬了 Polymarket 在损失得到控制后的反应。
一个反复出现的问题
这不是 Polymarket 第一次遭受攻击。上个月，该平台披露了另一起泄露事件，其中用于员工奖励充值的管理员钱包被盗取了约 70 万美元，可能是通过私钥泄露造成的。起初，加密侦探 ZachXBT 估计损失约为 52 万美元，Bubblemaps 后来在追踪资金跨多个地址后引用了更高的数字。
开发者 Josh Stevens 当时确认，一个 6 年前的私钥通过内部配置暴露，公司自那时起已更换凭证并转向密钥管理服务。然而，该事件并未影响用户资金或核心合约。
虽然这两起事件涉及不同的攻击方式，但它们都针对了 Polymarket 预测市场之外的系统。此外，最新的事件发生在该平台已经面临其他声誉挑战的时刻，包括《华尔街日报》最近的一份报告，该报告声称它每月支付给大学年龄的创作者 2,000 到 3,000 美元，以发布在 Polymarket 网站虚假版本上进行的 staged bets 视频，且超过 1,100 个视频中没有一个可以追溯到真实的区块链活动。
本月初还有另一场争议，当一名交易者声称他们在预测服务 allegedly 更改与 Strategy 的比特币销售相关的市场决策规则后损失了 500,000 美元。
来源：CryptoPotato
