Polymarket 被利用 — 攻击者窃取了 $660K 并在持续增加

Polymarket，全球最大的去中心化预测市场平台。其正面临一起疑似智能合约遭到利用的事件，据报道攻击者于2026年5月22日从一份基于Polygon的适配器合约中，提取了超过$660,000。

该事件最初由链上调查员ZachXBT发现并发出警报。他警告称，Polymarket的UMA CTF Adapter合约可能已经被攻破。根据多个区块链追踪工具的说法，攻击者每隔几秒钟就会持续分批提取POL和MATIC代币。通过一处与遗留预言机基础设施相关的疑似漏洞进行。持续的资金外流很快就演变成本月Polymarket最重要的新闻之一。

ZachXBT 警示可疑的 Polymarket 活动

ZachXBT最初的Polymarket警报指出了两个受影响的合约：

• 0x871D7c0f9E19001fC01E04e6cdFa7fA20f929082
• 0x91430CaD2d3975766499717fA0D66A78D814E5c5

疑似攻击者的钱包被识别为：

• 0x8F98075db5d6C620e8D420A8c516E2F2059d9B91

区块链监控数据随后显示，攻击者每20-30秒会重复提取大约5,000个MATIC。有些交易在资金被转入额外的钱包之前，MATIC数量曾超过9,900。Lookonchain后续确认，这次漏洞造成的损失已超过$660,000；同时在更多信息可用之前，提醒用户避免新增存款或开展交易活动。

UMA适配器合约似乎成为目标

早期报道显示，此次漏洞与Polymarket在Polygon上的UMA CTF Adapter有关。该适配器充当UMA预言机基础设施与Polymarket条件代币框架之间的桥梁。该系统用于在平台上解析预测市场的结果。安全研究人员认为，攻击者可能利用了与该适配器合约相关的旧私钥或遗留的权限设置，而不是直接攻破Polymarket的核心交易基础设施。反复发生的小额转账表明这是一种自动化的“抽走资金”策略，而非单次的大额漏洞交易。社区成员也警告称，资金可能已经在向洗钱路径或中转钱包流动。

这对投资者意味着什么

对用户和交易者而言，此次漏洞引发了对去中心化预测市场中智能合约安全性的进一步担忧。Polymarket会处理与选举、地缘政治和金融市场相关的大规模投注。因此，任何漏洞都可能迅速损害用户信心。

目前部分交易者担心：

• 临时性的流动性抽离
• 交易活动减少
• 平台谨慎程度提升
• 去中心化金融（DeFi）预测市场的信任问题扩大

如果漏洞持续扩大，竞争对手可能会暂时受益，因为用户会把活动转移到其他地方。此次事件也凸显，即便是成熟的DeFi平台，仍可能暴露在基础设施层面的安全漏洞之下。

开发者再迎一次安全警钟

对开发者而言，此次漏洞再次强调了密钥轮换、持续审计以及严格的合约权限管理的重要性。遗留的适配器合约以及预言机集成，往往会随着时间推移逐渐变成被忽视的攻击面。该案例可能会推动更多DeFi团队采取举措，例如：

• 多重签名控制
• 形式化验证工具
• 实时监控系统
• 更快的紧急暂停机制

这次攻击也可能加速围绕Polygon及更广泛DeFi生态系统中的预言机安全标准所展开的讨论。

Polymarket的回应与展望

截至撰写本文时，Polymarket尚未发布对该漏洞的完整公开技术拆解。然而，社区警报仍在持续提醒用户保持谨慎，直到合约活动趋于稳定。随着Polymarket相关新闻的进一步发展，调查人员大概率会重点关注：能否通过协调的链上追踪来冻结资金或实现部分追回。就目前而言，该事件再次提醒大家：安全始终是加密货币长期面临的最大挑战之一，尤其是当去中心化金融平台继续在全球范围内扩张之时。