(.cOM)：加密预测市场龙头Polymarket传出资金遭窃，多名用户在12月24日凌晨于X与Reddit狂怒「帐户余额被清空」。

平台旋即在官方Discord承认安全漏洞，并指向「第三方服务供应商」。链上追踪工具Lookonchain随后锁定钱包服务业者Magic Labs，让这起事件成为2025年末最受关注的加密市场安全破口。

官方称已修复，但仍有人担心

用户爆料后不到一小时，Polymarket发布公告：我们发现一个与第三方服务供应商相关的漏洞，目前已完成修复。受影响的用户仅占极少数，我们将主动联系这些用户。

公告未揭露损失金额与受害人数，却引起了更大的恐慌。依照Polymarket2025年的平台单月成交额，每月都是数十亿美元估算，即便「极少数」也可能是高额损失。

不同于常见钓鱼攻击，事发当下没有可疑连结流传，许多受害者甚至启用电子邮件2FA。防线被绕过的关键，不在用户端，而在后台的第三方认证。

Magic Labs登入机制成为破口

Polymarket为降低门槛，引入Magic Labs的「Email一键生成非托管钱包」。用户无需保管助记词，寄送验证码即可操作以太坊资产。而攻击者直接利用Magic Labs认证层的系统漏洞取得钱包控制权，2FA等同无效。

目前链上流向显示，黑客地址短时间内拆分资产并透过多层混币，增加追查难度。官方虽称「已经修复」，但尚未回应社群要求的完整事后报告。

与此同时，安全公司Slow Mist警告GitHub出现恶意Polymarket跟单机器人，专门针对自建交易脚本的高阶玩家。该程序会读取本地配置档并偷偷传出私钥，虽与Magic Labs漏洞无直接关联，却在同一天爆发。