Polymarket在10月29日暂停交易后，补偿范围逐渐清晰。11月1日的TokenPost与国际商业时报报道均援引平台10月30日更新：约270万美元对应攻击相关损失，另有120万美元用于部分停盘相关损失，合计390万美元。对仍持有预测市场仓位的人，这两笔钱回答的是不同问题：未经授权卖出的仓位如何还原，以及交易入口停摆期间失去的退出机会如何计价。390万美元是补偿安排的总额，不能直接当成攻击者转走资金的审计结论。
先把损失发生在哪一刻写清楚
据TokenPost转述，平台对遭出售或转走的仓位，以被取走时的价值为补偿基础，并计入出售滑点；另一类情况涉及停盘时仍持有的仓位，在市场于停盘期间结束，或交易恢复后出售时出现的价值差额。这意味着赔付不是统一按当前余额打款，而是需要重建不同时点的头寸与成交过程。两类钱包可能受到同一事件影响，却不宜套用同一个估值时刻。
可以用一个假设说明区别。某人持有的仓位在未经授权成交前价值100美元，实际卖出只得到90美元。如果随后所得又被转走，核对重点包括原仓位数量、估值依据、10美元滑点和实际转账。另一名用户没有遭遇转走，却在停盘期间错过平仓，其损失比较的是停盘时价值与后续出售或结算价值。这个例子不代表平台的逐户赔付公式，只说明相同的余额减少，可能来自不同过程，不能简单相加或彼此替代。
预测市场尤其依赖时间。合约临近结果揭晓时，一段无法成交的窗口，可能跨过决定收益的事件节点。恢复交易能够重新提供订单入口，但已经发生的结算不会因为网站恢复而倒转。因此，停盘损失是否纳入补偿、使用什么参考价、认可哪些后续成交，都会改变最终金额。用户争议往往也发生在这些条件上，而不只是平台是否愿意赔钱。
相关下载： Binance全球顶级交易所 v3.22.3大小：306.0M
链上记录完整，浏览器里的授权仍可能被借用
两家报道描述的路径是：网站加载的第三方性能监控脚本被恶意代码替换，部分当时保持登录状态的用户会话被利用，随后出现出售仓位和转走资金。这里要守住证据边界，目前采用的是媒体对平台事后说明的转述，不是本次独立完成的代码取证。也不能由此推导每名用户的助记词都已泄露，或全部平台资金池遭到同一种攻击。
对读者有用的区别，在于交易为何会被系统接受。链上执行可以验证提交的操作是否满足合约条件，却不天然知道浏览器里的动作是不是账户本人真实想做的。一个已经登录、能够发起交易的网页环境，如果允许外部代码接触敏感会话，就把部分财务权限交给了网页代码的供应链。即使最终交易记录不可篡改，也仍可能只是忠实记录了一笔未经用户同意的出售。
下图以透明容器、内部金球与外侧红带的概念场景表达这一权限问题，不对应实际攻击界面或经取证还原的攻击步骤。它要说明的局部关系是，保护账户不能只审查结算合约，还需要检查到达签名与下单流程的入口。
这也解释了为什么第三方组件不一定要直接托管资金，才能造成财务后果。性能监控本来的业务任务是观察网页运行，但运行位置如果靠近登录与交易环境，它获得的实际接触面可能超过其业务需要。判断风险时，应该沿权限能到达哪里追踪，而不能只按组件被称为监控、分析或统计来判断重要性。
封住同一地址下的替换代码，只解决一部分问题
TokenPost与国际商业时报报道的处置包括移除相关脚本、清理缓存、重置活动会话，并在恢复前暂停交易和中继活动；后续措施涉及更强的内容安全策略、版本固定与沙箱。报道中的这些措施，是平台披露的应对安排，不应进一步写成已经通过独立测试的长期防护效果。
Mozilla的子资源完整性文档提供了一个具体参照。浏览器可以将下载到的资源与预先指定的密码学哈希比较，内容不符就不能按原样加载执行。它针对的是地址相同、文件内容却被换掉的情况。对交易网页而言，这能让外部域名仍然可访问与文件内容仍然可信成为两个分开的检查项。
下面是依据Mozilla文档制作的原文摘录排版，非网页截图。原句说明资源必须匹配预先给出的哈希；它没有承诺经过匹配的脚本就不存在漏洞，也没有替网站决定哪些脚本应该取得账户权限。
文件固定也有实际取舍。如果供应商更新脚本，而网站仍使用旧哈希，浏览器可能拒绝新文件。对于非必要监控，这种停止加载往往可以接受；如果关键业务错误地依赖该脚本初始化，防护触发又可能变成业务中断。由此可见，固定版本需要配合更新审查、失效处理和权限隔离。允许脚本运行的域名清单，也不能单独防住已经被允许的来源发生内容替换。
更直接的改进方向，是先减少敏感交易页面加载的非必要外部代码，再限制剩余代码能够接触的环境。检测异常成交有助于缩短损失持续时间，但属于事件已经开始后的拦截；限制会话权限则改变可利用的路径。两者可以同时存在，评估时应分别观察覆盖范围，不能用恢复服务的速度代替对入口权限的检查。
相关下载： 欧易okx交易所 v6.195.1大小：549.4M
补偿是否完成，需要回到每一笔仓位与付款
国际商业时报报道，10月30日的更新曾列出726个直接受影响钱包，其中689个已全额退款、37个仍在处理；同日报道也转述了平台约95%的概括。TokenPost则将95%明确放在10月30日下午这一时点。这些数字描述当时披露的进度，不能在11月2日被改写成实时完成率，更不等于所有金额争议均已结束。本次没有逐户核验付款地址，也没有获得平台完整赔付账本。
用户可以先保存自身可验证的链路：停盘前后持仓数量、未经授权成交的时间与数量、订单成交价、链上转出记录、随后收到的补偿。对于停盘损失，还要说明市场是否在窗口内结算，以及恢复后究竟在哪个时刻出售。只有时间与数量对齐，才有可能讨论估值差异，单看一张余额截图不足以解释完整损失。
据TokenPost报道，平台依据链上及交易数据识别初始补偿资格，用户无需先提交索赔或支持工单，但对金额有异议者可以请求复核。这是报道所述安排，不代表任何外部发来的领取链接都可信。对账户而言，应从已经确认的官方入口核查记录，避免把一次补偿事件变成新的签名授权。这里的重点是验证付款与权限本身，而不是因一个赔付标题就另行向陌生地址操作。
对平台信用的后续评价，也应拆成能验证的事项：直接损失是否实际补齐，停盘估值规则是否一致，争议是否留有复核路径，以及第三方代码的权限是否缩小。补偿能减轻已发生的财务损失，但不会自动证明原来的会话边界已经可靠。反过来，技术措施的公告也不能替代钱包里实际收到的款项。等这些记录可以分别对应，390万美元才从一个承诺总额，变成能够逐笔核对的事件处理结果。
用户评论