Polymarket 內部加值錢包私鑰被竊，70 萬美元遭搬光，合約與使用者資金未受影響

Polymarket 5/22 早上被鏈上偵探 ZachXBT 點名：Polygon 上一個和獎勵發放有關的內部錢包正在被持續搬光，Bubblemaps 跟進統計，攻擊者每 30 秒提走 5,000 顆 POL、分散到 16 個地址、走中心化交易所洗。Polymarket 工程副總 Josh Stevens 出來坦承：是一把六年前就建好的私鑰被竊，那把鑰匙仍然掛在現在的「內部加值」設定裡，所以資金一直被導向那個錢包。Polymarket 已經輪換私鑰、撤掉所有 production 權限，往後全部走 KMS 託管。

合約沒被攻、UMA Adapter 沒事、市場結算與使用者資金都沒事，但這個事件本身正好踩在「DeFi 沒在打智慧合約、改打私鑰管理」的趨勢上。BlockSec 共同創辦人周亞金、Cyvers 資深 SOC Hakan Unal 都直接點名問題在「特權錢包的營運安全」，不是協議邏輯。Polymarket 過去 18 個月剛拿 22 億美元估值、5/22 同一天還被印度政府下封網令，這把六年前的鑰匙也提醒了一件事：交易量再大，鑰匙忘了輪就會出事。