0.1美元撬动百万流动性？深度解析Polymarket订单攻击漏洞

引言：一次低成本攻击引发的市场震荡

在去中心化预测市场领域，一个令人震惊的安全事件正浮出水面：攻击者仅需支付微不足道的网络手续费，便能系统性瓦解价值数百万美元的做市订单。这并非停留在纸面上的威胁模型，而是真实发生在Polymarket平台上的链上攻击。本文将深入剖析这一被称为“优雅而残忍”的攻击手法，揭示其技术原理、经济动机以及对整个预测市场生态的深远警示。

攻击机制解析：利用“链下-链上”状态差

要透彻理解此次攻击，首先需要把握Polymarket独特的交易架构。该平台为提升用户体验，采用了“链下订单撮合、链上最终结算”的混合模式。用户在链下发布订单并完成匹配，享受即时成交的便利，但最终的资产交割需提交至Polygon区块链确认。正是这一设计，在链下系统与链上状态之间制造了一个短暂但致命的时间窗口。

核心攻击步骤

• 第一步：发起正常订单 攻击者通过API提交一笔买单或卖单，链下系统验证通过后，会将其与订单簿上其他做市商的挂单进行匹配。
• 第二步：抢先清空资金 几乎在订单匹配的同时，攻击者在链上发起一笔高优先级Gas费的USDC转账，将账户资金全部转移。由于Gas费设置极高，这笔“抽干”交易会先于平台中继器的结算交易被网络确认。
• 第三步：结算失败与订单清除 当平台中继器随后将撮合结果提交上链结算时，攻击者钱包已空，交易因余额不足而失败。关键点在于：Polymarket的链下系统会将所有参与此次失败匹配的做市商订单强制从订单簿中移除。

简言之，攻击者用一笔注定失败的交易，充当了“订单清道夫”，以近乎零成本清除了竞争对手的真实挂单。

攻击变体：“幽灵成交”

社区进一步发现了该攻击的进化版本——“幽灵成交”。攻击者不再需要抢跑转账，而是在订单被链下匹配后、链上结算前，直接调用智能合约的“取消所有订单”功能，使自身订单失效。更复杂的是，攻击者可同时在多个市场下单，根据实时价格走势，仅让有利可图的订单正常结算，对不利订单则实施取消，从而构建一种“零风险”的套利期权。

攻击的经济学：成本收益的极端不对称

这种攻击本身不直接产生利润，其盈利模式建立在制造市场失衡之上。攻击者的获利途径主要有两条：

1. 清场后的垄断做市

在正常市场中，多个做市商竞争提供流动性，买卖价差通常很窄。攻击者通过反复清除竞争对手订单，制造流动性真空。随后，攻击者以自身账户挂出买卖盘，但将价差大幅拉宽。其他交易者在缺乏更好报价的情况下，被迫接受这一“垄断价格”，攻击者借此赚取超额价差收益。整个过程形成“清除-垄断-获利”的循环。

2. 猎杀自动化对冲机器人

这是更直接的获利方式。攻击者向一个做市机器人下达大额订单，链下系统确认成交后，机器人会立即在关联市场建立对冲头寸以锁定风险。然而，攻击者随即在链上使原始订单失败。这意味着机器人误以为自己已成交，其建立的对冲仓位实际上变成了无保护的单边风险暴露。攻击者随后通过市场操作，从机器人被迫平仓或市场价格偏移中套利。

成本与收益分析

成本端： 每次攻击循环仅在Polygon网络上消耗不足0.1美元的Gas费，单次循环耗时约50秒。攻击者甚至部署了“双钱包循环系统”实现全自动化高频攻击。

收益端： 根据被标记的攻击地址分析，一个于2026年2月新注册的地址，仅参与7个市场，便在极短时间内实现了超过16,427美元的总利润，最大单笔获利达4,415美元。这意味着攻击者可能以不到10美元的总成本，撬动了超过1.6万美元的回报，杠杆效应惊人。

对于受害的做市商和机器人运营商，损失则难以估量，包括直接资金损失、策略失效带来的机会成本以及为调整风控模型产生的运营开销。

行业影响与潜在风险

此次事件暴露的远非单一技术漏洞，而是触及了预测市场乃至更广泛DeFi领域的结构性风险。

• 对做市商： 订单被无故清除严重打击了其提供流动性的信心与策略的稳定性，可能导致流动性供给者撤离。
• 对自动化交易者： API返回的成交信号可信度崩塌，风控模型的基础被动摇。
• 对普通用户： 可能因流动性瞬间蒸发而面临滑点激增或无法成交的风险。
• 对平台自身： 流动性根基被侵蚀会引发恶性循环——深度变差导致用户体验下降，进而驱逐更多真实用户和做市商，最终威胁平台长期生存能力。

更严峻的是，此漏洞根植于Polymarket的底层机制设计，短期内难以彻底修复。随着攻击手法公开，模仿者可能涌现，进一步加剧风险。

社区响应与平台责任

截至目前，Polymarket官方尚未就此漏洞发布详细的修复方案或公开声明。有社区用户反映，该问题早在数月前已被多次报告，但未得到重视。在官方缺位的情况下，社区开发者已开始自发行动，例如创建了名为“Nonce Guard”的开源监控工具，用于实时侦测可疑的订单取消行为并构建攻击者黑名单，为交易机器人提供预警。然而，这类工具属于被动防御，无法从根本上解决问题。

这一事件也引发了关于去中心化平台治理与责任的深层思考。当协议设计存在缺陷时，责任应如何界定？平台方在追求用户体验与交易效率的同时，如何平衡安全性与去中心化程度？这为所有DeFi项目敲响了警钟。