热门话题
查看更多1.55万 热度
4.01万 热度
5.38万 热度
1.63万 热度
1.06万 热度
置顶
晒单有“金”喜，在 Gate 广场晒单晒图，瓜分 $10,000！
TradFi 黄金福袋活动震撼上线，每 10 分钟狂送 1g 真金，交易不停，抽奖不断！
👉 https://www.gate.com/announcements/article/49357
🎁 50 位幸运用户 * 每人 $200 仓位体验券（$10 × 20 倍）
参与方式：
1️⃣ 在 Gate 广场带话题 #Gate每10分钟送1克黄金 晒单，需包含：
交易或抽奖截图+简单体验分享
2️⃣ 或在广场创作相关图片（可使用 AI 创作），并附一句宣传语，如：
上 Gate App 抢黄金，每 10 分钟送 1g！
⏰ 1 月 20 日 17:00 – 1 月 25 日 23:59（UTC+8）
Gate TradFi 我看行，黄金福袋冲冲冲！Gate 广场创作者新春激励正式开启，发帖解锁 $60,000 豪华奖池
如何参与：
报名活动表单：https://www.gate.com/questionnaire/7315
使用广场任意发帖小工具，搭配文字发布内容即可
丰厚奖励一览：
发帖即可可瓜分 $25,000 奖池
10 位幸运用户：获得 1 GT + Gate 鸭舌帽
Top 发帖奖励：发帖与互动越多，排名越高，赢取 Gate 新年周边、Gate 双肩包等好礼
新手专属福利：首帖即得 $50 奖励，继续发帖还能瓜分 $10,000 新手奖池
活动时间：2026 年 1 月 8 日 16:00 – 1 月 26 日 24:00（UTC+8）
详情：https://www.gate.com/announcements/article/49112来Gate广场发帖分享你的GateAI 使用感受，赢丰厚奖励！
🎁 精选10 位幸运用户，每人奖励 $10 仓位体验券！
📌 如何参与？
1️⃣ 关注 Gate 广场_Official
2️⃣ 在广场发帖，带上话题 #我的GateAI使用体验，帖文需附上使用GateAI页面的截图
3️⃣ 创作内容表达使用感受、建议等不限
3️⃣ 帖子内容 不少于 30 字，且仅带本活动话题标签
GateAI上线详情：https://www.gate.com/announcements/article/49070
活动截止时间：2026/01/15 18:00（UTC+8）
快来广场分享你的 GateAI 使用感受吧 🚀每天看行情、刷大佬观点，却不发声？你的观点可能比你想的更有价值！
广场新人 & 回归福利进行中！首次发帖或久违回归，直接送你奖励！
每月 $20,000 奖金等你瓜分！
在广场带 #我在广场发首帖 发布首帖或回归帖即可领取 $50 仓位体验券
月度发帖王和互动王还将各获额外 50U 奖励
你的加密观点可能启发无数人，开始创作之旅吧！
👉️ https://www.gate.com/postGate 广场「创作者认证激励计划」优质创作者持续招募中！
立即加入，发布优质内容，参与活动即可瓜分月度 $10,000+ 创作奖励！
认证申请步骤：
1️⃣ 打开 App 首页底部【广场】 → 点击右上角头像进入个人主页
2️⃣ 点击头像右下角【申请认证】，提交申请等待审核
立即报名：https://www.gate.com/questionnaire/7159
豪华代币奖池、Gate 精美周边、流量曝光等超 $10,000 丰厚奖励等你拿！
活动详情：https://www.gate.com/announcements/article/47889
Polycule 大盗事件曝光：Telegram 交易机器人为何成为黑客狩猎场
预测市场正在迎来一波 Telegram 交易机器人的爆发，但这股热潮背后，正是黑客们虎视眈眈的新猎场。
突如其来的 23 万美元被盗案
1 月 13 日，知名预测市场交互工具 Polycule 官方爆出一起重大安全事件：其 Telegram 交易机器人遭黑客入侵，约 23 万美元的用户资金在瞬间被盗一空。团队紧急反应，机器人随即离线，并在链上承诺对 Polygon 网络上的受损用户进行赔付。这起事件再次敲响警钟——当交易体验被浓缩成一条 Telegram 消息时，安全防线有多脆弱？
Polycule 是如何运作的：方便背后的代价
Polycule 的核心吸引力很简单：用户无需离开 Telegram，就能在 Polymarket 上浏览市场、管理仓位、调度资金。看似无缝的体验，实际上是建立在一套复杂的后台系统之上。
当用户输入 /start 时，后台会自动生成一个 Polygon 钱包并保管其私钥——这个设计选择至关重要。随后，用户可以通过各种命令完成交易：/trending 查看热门市场、/search 搜索特定预测、直接粘贴 Polymarket 链接获取行情，甚至可以用 /buy、/sell 直接下单。
Polycule 的亮点功能包括：
这一切都由 Polycule 的中央服务器在后台代签交易、监听链上事件、持续管理密钥。便利的背后，是集中化风险的积累。
聊天机器人模式的系统性漏洞
Telegram 交易机器人之所以容易成为攻击目标，归根结底是这个模式本身就存在三个难以规避的结构性问题：
第一道防线失效：私钥中央化存储
几乎所有 Telegram 交易机器人都会把用户私钥存放在自己的服务器上，由后台代签每一笔交易。这个设计虽然提升了用户体验（不需要手动授权），但同时也意味着：一旦服务器被攻破、数据库被拖库、或者运维人员不慎泄露配置文件，攻击者就能批量导出所有用户的私钥，进而在瞬间转移数百万美元的资金。
第二道防线缺陷：身份验证单一
认证完全依赖 Telegram 账号本身。如果用户遭遇 SIM 卡劫持、手机丢失或账号被盗，攻击者无需知道任何助记词或密码，仅凭控制 Telegram 账户就能完全接管机器人钱包。
第三道防线缺失：缺乏用户确认机制
传统钱包的每一笔交易都需要用户在本地弹窗上亲自确认——这是最后一道人工防线。但机器人模式下，用户和机器人的对话是异步的、文字化的，没有任何明确的「确认」环节。一旦后台逻辑出现漏洞或被篡改，系统可能在用户毫不知觉的情况下自动转走资金。
Polycule 事件暴露的特定攻击面
结合 Polycule 的功能设计，此次被盗事件和潜在风险点可能集中在以下几个方向：
私钥导出的权限漏洞
/wallet 菜单允许用户随时导出私钥，这说明后台保存的是可逆的密钥数据（而不是单向哈希）。如果存在 SQL 注入、未授权 API 接口、或者日志文件泄漏，攻击者可以直接调用导出功能批量提取私钥——这与此次大规模被盗的场景高度吻合。
URL 解析可能触发 SSRF 攻击
Polycule 鼓励用户提交 Polymarket 链接以快速获取市场详情，但如果对输入的 URL 校验不严，攻击者可以伪造指向内网或云服务元数据的链接。机器人后台在解析这类链接时，会主动「踩坑」，进而暴露内部 IP、数据库凭证、AWS 密钥等敏感信息。
Copy Trading 的事件监听风险
复制交易功能意味着机器人需要实时监听目标钱包的链上操作。如果这些监听事件可以被伪造，或者系统缺乏对目标交易的安全过滤，跟单用户可能被诱导与恶意合约交互，导致资金锁定甚至直接被抽走。
跨链与自动换币的多重风险
自动将 2% SOL 兑换成 POL 的流程涉及汇率查询、滑点控制、预言机调用和权限执行。如果代码对这些参数的校验不够严格，黑客可以在桥接时放大换汇损失、转移 Gas 预算，甚至通过伪造 deBridge 的回执来制造虚假充值或重复入账。
项目和用户该如何应对
对项目团队的建议
对终端用户的建议
预测市场与 Telegram 机器人的未来
Telegram 交易机器人短期内仍会是预测市场和 Meme 币的热门入口，其便利性是难以抗拒的。但这个赛道同时也会持续成为攻击者的狩猎场——只要用户的私钥还被集中管理，风险就始终存在。
关键在于项目方的态度。安全不应该是事后补救，而应该从产品设计的第一天就融入其中。无论是引入本地签名、实现 MPC 钱包、还是推出硬件钱包集成，都是可行的方向。同时，向用户透明地披露安全进展、建立信任，也成为了市场竞争的重要因素。
Polycule 的这起事件，其实是在告诉整个行业：当我们享受聊天快捷键的便利时，也必须为集中化风险付出代价。