奶牛叔(@WWTLitee):你登录着账户，脚本却替你把仓位卖了、把钱转走了？ Polymarket 这次不是合约被黑，是第三方性能监测供应商被攻破，脚本被偷换成吸金工具。 10月29日的攻击里，攻击者利用部分用户的活跃会话，直接出售持仓、把钱包资金移走——你人在登录状态，钱照样没了。官方的处置是移除脚本、清缓存、暂停交易和 relayer，清理后重新开放，然后把所有活跃登录会话全部重置。案件已经交给执法机构，但说实话，追回多少、追多久，别抱太大幻想。最需要分清的是钱：截至10月30日下午，95% 受影响钱包已全额退款，总计向交易者返还 390 万美元。但这 390 万不是全部被盗金额，也不是所有退款都已完成——它由 270 万攻击相关损失，加上额外 120 万暂停相关损失构成。把 390 万说成“被盗 390 万”或者“全部退完”，都是在制造另一种恐慌。好消息是符合条件的钱包直接从链上和交易数据识别，不用提交索赔工单，金额有误再填表复查。官方说要给第三方脚本加完整性控制和持续监测——这句话现在听来格外刺耳，因为漏洞恰恰出在“第三方脚本”上。一个监测性能的脚本，权限大到能卖你的仓、转你的钱，这权限设计本身就该被追问。安全不是你把密码设得多复杂，而是任何一个供应商被攻破时，你的账户不会变成别人的提款机。

2026.10.31 00:07

你登录着账户，脚本却替你把仓位卖了、把钱转走了？ Polymarket 这次不是合约被黑，是第三方性能监测供应商被攻破，脚本被偷换成吸金工具。 10月29日的攻击里，攻击者利用部分用户的活跃会话，直接出售持仓、把钱包资金移走——你人在登录状态，钱照样没了。官方的处置是移除脚本、清缓存、暂停交易和 relayer，清理后重新开放，然后把所有活跃登录会话全部重置。案件已经交给执法机构，但说实话，追回多少、追多久，别抱太大幻想。最需要分清的是钱：截至10月30日下午，95% 受影响钱包已全额退款，总计向交易者返还 390 万美元。但这 390 万不是全部被盗金额，也不是所有退款都已完成——它由 270 万攻击相关损失，加上额外 120 万暂停相关损失构成。把 390 万说成“被盗 390 万”或者“全部退完”，都是在制造另一种恐慌。好消息是符合条件的钱包直接从链上和交易数据识别，不用提交索赔工单，金额有误再填表复查。官方说要给第三方脚本加完整性控制和持续监测——这句话现在听来格外刺耳，因为漏洞恰恰出在“第三方脚本”上。一个监测性能的脚本，权限大到能卖你的仓、转你的钱，这权限设计本身就该被追问。安全不是你把密码设得多复杂，而是任何一个供应商被攻破时，你的账户不会变成别人的提款机。

Forward to community