预测平台 Polymarket 遭遇了一次“供应链”攻击，导致其国际平台上的交易员账户损失了数百万美元。该平台在 10 月 29 日发现未经授权的提款后宣布暂时暂停交易，并确认将赔偿所有受此事件影响的用户。
攻击机制：利用监控工具
Hudson Rock 的研究人员披露，此次攻击并未直接针对 Polymarket 的基础设施，而是通过注入恶意 JavaScript 代码实现的，该代码通过 DebugBear（一家专门从事网站性能监控的英国公司）植入。
恶意代码利用了 DebugBear 的“真实用户监控”（RUM）工具执行以下操作：
- 搜索已登录用户的交易工具和钱包。
- 利用活动会话（Authenticated sessions）中的可用权限，无需直接窃取密码、私钥或恢复短语。
- 出售用户的金融头寸或直接将代币（Tokens）转移到攻击者控制的地址。
财务损失估算
根据网络安全公司的分析，关于被盗金额的数字有所不同：
- Hudson Rock 估计，在代码预设的攻击者地址中存在约 219 万美元。
- 网络安全公司 GoPlus 则指出，损失可能高达 271 万美元，并指出攻击涉及 710 个存款钱包和 731 个不同地址。
DebugBear 方面确认其遭遇了安全事件，并敦促用户立即从其网站中移除该软件（代码片段），同时表示已聘请专业事故响应专家进行处理。值得注意的是，Polymarket 的美国平台未受此次攻击影响。
为什么这则新闻很重要？
此次事件凸显了软件安全中日益增长的风险，即仅保护主平台已不再足够，还必须保护所有在“后台”运行的工具和服务（第三方依赖项）。针对性能监控工具（RUM）的攻击构成了严重威胁，因为这些工具本质上具有与用户界面交互的能力，这使其成为利用活动会话权限执行攻击的理想目标，而无需破解传统密码。这改变了评估第三方风险的游戏规则。