据报道，Polymarket 在7月下旬出现一处注册漏洞，攻击者借助窃取来的个人信息，得以接管近500个已存在的美国账户，并连带获取关联的支付方式。
要点：
- 该注册漏洞 reportedly 允许任何持有交易者个人信息的人，直接进入其真实账户，无需用户名或密码
- 关联银行账户和借记卡信息同时暴露，部分用户称损失数千美元后客服长期失联
- 此事发生前，平台今年2月还曾爆出一轮欺诈潮，盗刷者试图通过被盗借记卡转移至少1000万美元
注册漏洞让交易者账户裸露
据周六刊发的一篇报纸调查报道，任何人只要使用现有交易者的个人资料开设新账户，例如被盗的社保号码，就可能直接进入该交易者的实时账户，调查显示。
入侵者无需用户名、无需密码，也不需要控制对方手机；与这些账户绑定的银行账户和借记卡同样可被直接访问。
一位知情人士称，被盗资金总额不大，但未透露具体数字。公司发言人则表示，Polymarket 将为此次事件中的资金损失买单。不过，用户的说法并不一致。一些用户表示，自己损失了数千美元，且向客服发出的多封求助邮件迟迟没有回应。
一名交易者称，他在7月登录时发现自己的持仓已被卖出，且 5,783.51 美元收益被转入一张并非自己所有的借记卡。他表示，公司先向其账户补了 25 美元，却未作任何解释；在他两次提交验证材料后，账户又被冻结。
另请阅读： 英伟达2030年股价预测区间拉大至727美元至28,560美元
Checkout.com 预警在前，Coplan 后续回应惹议
这起账户漏洞，发生在今年2月更大范围欺诈潮之后。当时，不法分子将被盗借记卡绑定到数千个新开美国账户，并试图转移至少 1000 万美元。支付处理商 Checkout.com 一度拒绝了超过80%的入金，远高于行业约1%的常见水平。随着公司限制单个账户可绑定的借记卡数量，并引入反欺诈服务商 Riskified，到5月时欺诈率已回落至正常区间。
据现任及前任员工回忆，合规团队曾将问题上报给首席执行官 Shayne Coplan，而他的回应是继续推动增长；如果监管机构事后发现问题，再支付罚款即可。根据接受采访人士的说法，这一表态令团队颇感意外。
Polymarket 安全记录再受审视
分析人士已就这家估值约210亿美元、正寻求融资的平台是否“增长快于合规”提出质疑。他们同时指出，所谓“1000万美元”指的是未遂盗取金额，而非已确认损失。Polymarket 表示，已加强系统防护；律所 Sullivan & Cromwell 的内部审查则认为，公司合规运营并无问题。
7月这起漏洞，为平台一段并不平静的时期画上了又一道阴影。Polymarket 至今尚未就该注册漏洞发布公开事后报告。6月，公司曾确认一名被攻破的供应商在其网站中注入恶意脚本，攻击者随后从11个用户钱包中盗走约310万美元，而公司此前刚承诺为用户全额退款。
相关阅读： 谷歌 Gemini 首次被曝自动化入侵三家公司
