Polymarket 設立 390 萬美元退款計劃，因第三方腳本遭到入侵

簡而言之： Polymarket 表示其 10 月 29 日的事件涉及一個被入侵的監控腳本。其 10 月 30 日的更新將總退款金額定為 390 萬美元，包括與交易暫停相關的損失。

Polymarket 發布了更詳細的報告，說明了在 10 月 29 日干擾其國際平台的第三方入侵事件。這次更新將焦點從交易是否重新開放轉向攻擊是如何發生的，以及客戶將如何獲得賠償。

該公司的解釋也提醒我們，鏈上應用程序可能依賴於具有訪問活躍用戶會話的鏈下網站組件。

退款金額包括的不僅僅是被抽走的資金

在其 10 月 30 日的事後分析中，Polymarket 表示將退還 390 萬美元：其中 270 萬美元與此次攻擊有關，另外 120 萬美元則是因暫停交易而造成的損失。報告顯示，截至當天下午，95% 的受影響錢包已獲得全額退款。

該公司表示，一個被入侵的性能監控腳本利用了一些活躍會話來出售頭寸並轉移資金。其應對措施包括移除該腳本、清除快取、重置會話以及暫時停止交易和轉發活動。

95% 的數字是公司報告的時間戳記。它不應被視為即時退款完成率或證明每個爭議客戶金額已解決的證據。

網站代碼可能成為財務邊界的一部分

第三方腳本的運行是因為網站選擇加載它。根據其權限和執行環境，該腳本可能與用戶所信任的應用程序相關聯的頁面和瀏覽器會話的部分進行交互。

Mozilla 的子資源完整性文檔描述了一種防禦措施：瀏覽器可以將下載的資源與預期的加密哈希進行比較，拒絕不匹配的內容。這有助於將經批准的文件與通過相同地址提供的更改文件區分開來。

這種機制是有用的，但有限。它並不決定經批准的代碼是否安全，應用程序仍然需要一個健全的流程來審查更新並控制哪些資源被允許運行。

交易暫停可能會產生第二類損失

在與時間敏感結果相關的市場中，停止交易可能會影響用戶，即使他們的錢包從未直接被抽走。某個頭寸可能在停機期間結算，或者其市場價值可能在交易恢復之前發生變化。

對這些影響的賠償需要一個明確的參考點。操作員需要確定相關的時間戳、頭寸大小和估值方法，然後一致地應用相同的方法。否則，退款標題可能會掩蓋對哪些損失被包括的分歧。

這在強制銷售與流動性薄弱的情況下尤其重要。顯示報價與可執行價格之間的差異恰恰在平台面臨壓力時變得重要。

耐用測試是替代控制系統

移除惡意文件關閉了事後分析中描述的直接路徑。長期問題是如何驗證未來的代碼更改，外部腳本保留了什麼權限，以及如何快速檢測異常活動。

這裡有一個合理的層級。防止不必要的腳本到達敏感頁面與在其已經開始後檢測不良行為是不同的。兩者都可能有用，但不應被視為可互換的保護措施。

用戶和對手方也將受益於已完成退款和任何剩餘爭議的明確對賬。事件可以在操作上得到解決，同時會計工作仍在繼續。

Polymarket 的更新提供了有關這些獨立任務的具體信息。下一次評估應集中在經過驗證的賠償結果和修訂控制的有效性上，而不應假設區塊鏈結算單獨保護用戶免受用於達成結算的應用程序的每個組件的影響。

*撰寫者：新聞編輯部，編輯：Samuel Rae。