Polymarket公告事故解決6分鐘後，帳戶再流出10.99美元

Polymarket公告國際版平台的安全事故已處理完畢6分鐘後，先前已有資金流出的帳戶又出現一筆10.99美元（約1萬4,700韓元）的轉出交易。

以下時間均為韓國時間。Bitquery統計，30日凌晨2時10分至3時10分，Polymarket有737個帳戶發生985筆提領，金額約273萬美元（約36億5,000萬韓元）。韓元換算採用10月29日美元兌韓元中間價，每1美元兌1,337.325韓元。737是帳戶數，不代表有737名不同受害者；273萬美元則是依特定路徑統計的提領金額，並非Polymarket公布的正式損失總額。

Polymarket的官方事故紀錄顯示，平台於凌晨3時5分切換至僅能取消訂單的狀態，並停止負責轉送交易的中繼服務。凌晨3時37分，Polymarket表示一家第三方供應商遭到入侵，問題已修復。

Polymarket表示已將事件移交相關調查機關，並會補償受影響使用者的損失。事故紀錄於凌晨4時5分更新為「已解決」。

凌晨4時11分，先前已有資金流出的帳戶又透過同一路徑轉出10.99美元。截至凌晨4時49分檢視的交易中，事故公告解決後確認的新增提領只有這一筆。單憑這筆交易，無法斷定攻擊仍在持續。

中繼服務會將使用者授權的交易送上區塊鏈。Bitquery分析指出，先前的985筆提領都經過有效授權程序，並由Polymarket的中繼服務處理。

鏈上紀錄可以顯示授權是否有效，但無法指出是誰建立授權，也不會呈現簽署是透過什麼途徑完成。因此，這項分析不足以證明智慧合約本身遭到入侵。

資安公司Hudson Rock表示，從DebugBear網域取得的腳本大小為15,187位元組，兩次下載的檔案內容相同。Polymarket公開的建置紀錄也可看到移除該腳本的變更紀錄。

Hudson Rock分析的程式碼包含搜尋已登入使用者的交易介面與簽署工具，以及嘗試出售持倉或轉移資產的功能。這些描述的是腳本的設計。

Hudson Rock沒有在實際帳戶上執行程式碼來重現提領流程，因此腳本功能分析與實際成功的交易必須分開看待。

移除腳本的建置紀錄時間為30日凌晨2時59分20秒。這是建置產生時間，不代表實際部署時間；紀錄也無法確認已開啟的瀏覽器頁面或快取何時移除了腳本。目前沒有證據能把腳本分析結果與鏈上提領紀錄直接連結為同一筆交易的原因與結果。

Polymarket在6月25日的公告中也表示，一家第三方業者遭到入侵，導致部分使用者接觸到惡意腳本，並承諾補償受影響使用者。兩起事件都提到第三方業者遭入侵，但沒有證據顯示事件涉及同一家業者或相同入侵途徑。

Polymarket尚未公布這次事件的供應商名稱、正式受影響帳戶數、總損失金額或補償時程。30日下午2時32分，Polymarket狀態頁面顯示所有系統運作正常。