Polymarket 遭供应链攻击暂停交易
推荐指数 52.0 NO. 020 · 2026.10.31
发布2026/10/30Score97Comments37
简介
预测市场平台 Polymarket 因第三方软件 DebugBear 被入侵，暂停交易近一小时，部分用户钱包疑似被盗。平台承诺全额赔付，但暴露了 Web3 基础设施对第三方 JS 供应链的高度依赖风险。
编辑判断
DebugBear 是一个前端性能监控工具，这类脚本通常拥有完整的 DOM 访问权限，一旦被入侵就等于给攻击者开了后门。Polymarket 作为处理真金白银的平台，居然没有 CSP 或 Subresource Integrity 来限制第三方脚本的执行范围，这个安全模型本身就有问题。
对做 AI 应用的团队来说，这是个警醒：如果你在产品里嵌了 Google Analytics、Sentry、Intercom 等第三方脚本，它们同样能读取页面上的 API key 或用户数据。建议至少给敏感页面配置严格的 CSP，或者把关键业务页面和营销页面彻底拆分到不同域名。
更值得玩味的是 Polymarket 选择全额赔付而不是走保险或推诿，预测市场的信任基础太脆弱，一次赖账就可能引发挤兑。这种"不得不赔"的处境，恰恰说明去中心化金融产品的中心化运营悖论还没解开。
社区反馈
负面 38 条评论
核心争论：AI 降低攻击成本至零是否将引发安全范式崩溃
Discussion yesterday (46 points, 13 comments) https://news.ycombinator.com/item?id=50295883 Wired's coverage (25 points) https://news.ycombinator.com/item?id=50296328 WSJ's coverage (20 points) https://news.ycombinator.com/item?id=50294287
Kind of insane how much of the front page is about security compromises today.
P(doom) on the rise