Polymarket「私鑰外洩」事件全解析：資金為何仍安全？

「砰——」一枚看不見的石頭砸進了Polymarket的平靜湖面。2024年5月22日的清晨，區塊鏈監視系統突然捕捉到一連串異常的POL轉帳——在Polygon網路上短短不到一小時內，超過52萬美元（摺合約600萬新臺幣）的代幣接連被搬走。這畫面像是颶風來臨前的浪頭，一瞬間讓不少投資者的心被拉昇到了喉嚨口。然而，Polymarket團隊隨即給出了一則安定的回應：這並非智慧合約的漏洞，而是內部營運錢包的私鑰被意外曝光。

事件時間軸

• 08:22 UTC — 區塊鏈調查者ZachXBT在Telegram上發出警報，指稱Polymarket位於Polygon的一個管理地址遭到入侵。
• 08:25 UTC — 該地址累計已被搬走5,000 POL（約當時價值52萬美元）。
• 08:51 UTC — 分析平臺Bubblemaps進一步警告，攻擊者每30秒移除約5,000 POL，當前累積金額已接近60萬美元。
• 09:01 UTC — 區塊鏈瀏覽器PolygonScan顯示兩筆關鍵交易：5,000 POL 先進入Polymarket的 「UMA CTF Adapter Admin」 位址，隨即在七秒後流向標記為 「Polymarket Adapter Exploiter 1」 的錢包。

團隊的澄清

Polymarket Development Crew 在官方部落格中說明：「此次事件的根源是一次『私鑰外洩』，涉及的錢包是用來進行內部補額操作的 wallet，而非核心的聰明合約或使用者資金。」此話一出，原本高漲的「合約被hack」的恐懼急速降溫。團隊成員 Shantikiran Chanal 也強調：「使用者的資金和市場結算過程皆完全安全，此次問題只限於獎勵發放的內部錢包。」

或許你會問：如果攻擊者能搬走這麼多 POL，豈不是說平臺本身不安全？事實上，這次的漏洞和我們所熟悉的其他 DeFi 專案常見的「智慧合約被駭」不同。智慧合約是鏈上的自動程式，一旦有漏洞便會直接影響使用者的持倉與結算；而這次的問題只在於「營運錢包」的私鑰外洩，這類錢包通常負責定時向獎勵池補充代幣，與市場結算邏輯是完全隔離的。正是因為這種分離設計，才讓使用者的部位絲毫未受影響。

損失規模與未解之謎

目前官方尚未公佈最終的損失報告。根據 ZachXBT 的最初監控資料，至少有 52 萬美元被搬走；Bubblemaps 在隨後的更新則指約 60 萬美元。區塊鏈上的交易痕跡顯示，攻擊者在短時間內連續搬走近 12 次，每次 約 5,000 POL，雖然這些交易已經被鏈上記錄下來，但最終的審計金額仍是一個問號。Polymarket 表示將在確定後發布完整的事件報告，並已經啟動金鑰輪替與後端系統的全面稽核。

從事件中復原：營運安全的三帖良方

• 分層金鑰管理：營運錢包與核心結算錢包應該使用不同的私鑰，甚至硬體錢包的層次也要分開，以降低單點失效的風險。
• 自動化監控閾值：設立即時的異常轉帳告警，例如單一地址在短時間內轉出張度超過設定上限，即自動暫停並鎖住相關錢包。
• 透明報告文化：在事故發生後的第一時間向社群提供初步宣告、後續報告與改善計畫，能有效降低恐慌情緒，強化信任。

用「療癒」的角度看待此次風波

如果把整個系統想成一座山谷中的小溪，平時水流平穩、草木欣榮；但每逢暴雨，難免會夾帶泥沙。這次的私鑰外洩就像是突如其來的山洪，雖然一度讓水面變得混濁，但源頭的水仍是清澈的——使用者的資金與市場結算機能沒有受到直接衝擊。對於投資人來說，這是一次提醒：除了挑選高報酬的專案，還要留心其「金鑰管理」的防護是否足夠。當我們學會如何在水退後重新整理航道，整條區塊鏈生態也會變得更堅韌。

結語

截至目前為止，Polymarket 明確指出：使用者的資金與市場結算都不在受影響的範圍之內，事件的範疇主要侷限於內部運營錢包的私鑰洩漏。團隊已經展開金鑰輪換與後端系統的全面調查，未來將公佈完整的損失報告與改善措施。對於廣大的 DeFi 參與者來說，這一次的教訓在於——「金鑰的安全」與「合約的安全」同樣重要；在選擇平臺時，除了看它的收益模型，亦要檢視其營運錢包的分離與監控機制。否則，即使是一片平靜的湖面，也可能在不經意的石頭投入後泛起漣漪。