多名Polymarket用户称资产遭未授权转出，疑似前端遭攻击
内容摘要
PANews 10月30日消息，Polymarket交易员Car在X平台发帖称其账户资产被盗约80万美元、所有持仓被卖出，其朋友账户被盗约60万美元，并提醒用户锁定账户、暂勿与网站交互。另有多名用户在X平台及Polymarket Discord社区反映网站前端疑似遭攻击，资产在未经授权情况下被转出，有用户称被盗约20万美元，也有用户称在官网收到未经授权的提现签名请求。截至发稿，Polymarket官方尚未回应。今年6月，Polymarket曾因第三方供应商被入侵遭前端钓鱼攻击，约294万美元用户资产被盗。
多名用户自报被盗且官方尚未回应，事件定性仍停留在疑似前端遭攻击阶段。
来源：PANews · panewslab.com
打开原文所属事件
Polymarket称第三方服务商被入侵，承诺全额赔付
Polymarket官方状态页确认，影响国际站Polymarket.com的问题源于一家第三方服务商遭入侵，问题已识别并修复，事件已移交执法部门，受影响用户将获全额赔付；平台已暂停交易并努力恢复上线，此前一度进入仅撤单模式并暂停relayer操作。链上分析机构Bubblemaps监测称超700名用户被盗约346万美元，其中约270万美元已兑换为POL并转出、约75万美元仍停留在Polymarket上；官方尚未披露涉事服务商名称、受害人数及损失总额。
最新变化：Bubblemaps监测称超700名用户被盗约346万美元，其中约270万美元已转出、约75万美元仍停留在平台。
读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
代币授权是什么？断开钱包与撤销授权有什么区别
断开钱包连接通常不会撤销链上的 ERC-20 授权。额度要按网络、代币、owner 和 spender 查询，撤销则要核对成功回执及之后的 allowance；余额、额度和已转走数量是不同数据。下文提供单位换算与撤销核验记录，Permit、Permit2 和 NFT 权限需分别检查。
授权给了谁，允许做什么？
ERC-20 的 approve 设置指定 spender 可使用的额度，allowance 查询持有人给该 spender 的额度，transferFrom 用于按授权转移资产。被授权者可能是交易路由合约，也可能是陌生地址；代币名称和网站图标不能证明其身份。
参考依据：ethereum.org：ERC-20 的授权与转移接口 ↗ · OpenZeppelin Contracts 5.x：ERC-20 ↗
相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一事件的进展深潮 TechFlow · Web3 资讯
Polymarket 第三方服务商被入侵致超 700 名用户被盗约 346 万美元
查看摘要与出处
据链上分析机构 Bubblemaps 监测，Polymarket 第三方服务商遭入侵已导致超过 700 名用户账户资产被盗，总额约 346 万美元。其中约 270 万美元已被兑换为 POL 并转出，另有约 75 万美元仍停留在 Polymarket 上，主要攻击者地址为 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18，资金已被拆分至多个地址。Polymarket 官方此前确认一家第三方服务商遭入侵，表示将全额赔付受影响用户，平台交易目前仍处于暂停状态。
核对原文 ↗同一事件的进展PANews
Polymarket疑似攻击者将约265万美元资金换成POL并分三笔转出
查看摘要与出处
据The Block及Decrypt报道，Arkham数据显示，疑似Polymarket攻击者地址（0x3F99…Ffc18）将所得USDC.e、USDC兑换为POL，一度持有约265万美元POL，随后经Polygonscan显示已分三笔转出约2864万枚POL。网络安全公司Hudson Rock称，该地址被硬编码在网页性能监测服务DebugBear托管的一段含钱包盗取代码的脚本中，作为备用收款地址。此前Polymarket称一家第三方服务商遭入侵，受影响用户将获全额赔付；据Decrypt报道，这是Polymarket今年第三起安全事件，此前5月、6月曾分别损失约70万美元、约300万美元。
核对原文 ↗同一事件的进展深潮 TechFlow · Web3 资讯
Polymarket 疑遭前端攻击，交易切换为仅可撤单模式
查看摘要与出处
据 Decrypt 报道，预测市场 Polymarket 疑似遭遇安全事件，交易已切换为仅可撤单模式，中继（relayer）操作暂停，多名用户反映资产被未经授权转出，有交易者称损失约 80 万美元。Arkham 数据显示，一个被标记为疑似攻击者的地址已通过 Relay 将多笔 USDC.e 兑换为 POL，目前持有约 265 万美元的 POL。安全公司 Hudson Rock 称，一段托管在 DebugBear 上的脚本含盗取钱包资产的代码，并将同一地址写死为备用收款地址；事件起因与受影响用户数量尚未明确，Polymarket 官方暂未说明原因。
核对原文 ↗