Polymarket确认用户账户被黑事件与第三方漏洞有关——资金已被转移，尽管启用了双重验证

去中心化预测市场平台Polymarket于2025年12月25日确认，由于第三方认证提供商存在安全漏洞，导致多个用户账户被攻破。

受影响用户报告了未经授权的登录和资金被盗——尽管启用了两因素认证(2FA)，且没有证据显示个人设备被攻破——这引发了在X和Reddit上的猜测，认为问题可能涉及Magic Labs，一个常用的钱包连接服务。虽然Polymarket尚未点名该提供商，但此次事件凸显了Web3平台中持续存在的第三方风险，即使是非托管服务也不例外。官方尚未披露具体损失数字，但个别报告描述了在可疑登录尝试后资金被大量提取的情况。

Polymarket账户被攻破的详细情况

用户在本周早些时候开始出现投诉：

• 共同模式：多次登录失败通知，随后成功登录并关闭仓位/提取资金。
• 安全措施完好：受害者报告设备干净，没有点击钓鱼链接，关联邮箱启用了活跃的2FA。
• 示例报告：一位Reddit用户描述醒来时收到三次登录尝试，随后发现所有Polymarket仓位已被关闭，余额接近零。
• 社区猜测：许多人指出Magic Labs(magic.link)可能是潜在的脆弱第三方，考虑到其在钱包连接中的广泛使用。

Polymarket的声明确认了第三方是根本原因，但提供的细节有限，未说明影响范围或修复时间表。

• 平台影响：非托管性质意味着私钥由用户控制，但认证漏洞导致会话劫持。
• 未确认钓鱼：暗示可能是供应链或提供商层面的漏洞。
• 应对状态：已发布确认声明，调查仍在进行中。

为什么第三方漏洞对DeFi用户构成风险

即使是去中心化平台，也依赖外部服务改善用户体验：

• 钱包连接：如Magic Labs等提供商简化登录流程，但引入单点故障。
• 会话管理：被攻破的认证令牌如果未正确撤销，可能绕过2FA。
• 供应链攻击：随着Web3依赖多层次组件，威胁日益增长。

此次事件呼应了过去的安全漏洞，例如Ledger Connect套件等第三方工具，尽管用户安全措施到位，仍可能被暴露。

对Polymarket和预测市场用户的影响

以高交易量事件投注闻名的Polymarket面临声誉压力：

• 信任影响：用户对平台安全性产生疑问，尽管其为非托管设计。
• 交易量背景：近期如选举投注等高额交易增加了问题的关注度。
• 缓解措施：可能包括撤销会话、强制重新认证和对提供商的审计。
• 更广泛的教训：应多样化认证方式，监控连接的应用程序。

目前尚无链上被利用的证据，损失主要与账户被接管有关。

总之，Polymarket于2025年12月25日确认通过第三方漏洞导致用户账户被攻破，尽管启用了2FA，但资金仍被盗走。这一事件凸显了Web3中供应链风险的持续存在。关于Magic Labs的猜测和未经授权访问的报告提醒用户应审查连接的服务并启用高级安全选项。请关注Polymarket官方渠道，获取受影响账户的后续处理和解决方案的最新信息。