如果有人拿你的借记卡在预测市场充值，下注后再把钱转走，等你发现盗刷并要求撤销付款，损失可能已经留给平台或支付商。这不是交易合约被黑，而是更朴素的漏洞：平台跑得太快，身份核验、支付监控和账户安全没有同步跟上。
《华尔街日报》将其概括为 Polymarket 的“Growth at All Costs”（不惜一切代价追求增长）策略为欺诈打开了大门，并称平台存在一系列合规失败。不过，这些判断目前来自该报单一调查，不能据此认定 Polymarket 实施了欺诈，也不足以证明增长策略与所有风险之间的因果关系。
被盗银行卡如何变成入金通道
据《华尔街日报》调查，欺诈者从2026年2月开始使用被盗借记卡攻击 Polymarket 美国平台，试图经由平台转移至少1000万美元。报道没有确定最终有多少钱被成功盗走。
攻击利用的是“拒付欺诈”：盗刷者先用别人的卡入金，真正持卡人发现后要求撤销付款。如果资金已经流出，平台或支付商可能需要承担损失。支付处理商 Checkout.com 一度拒绝超过80%的相关入金，理由是涉嫌欺诈；报道给出的行业通常水平约为1%。这个差距说明，异常并非零星噪声。
知情人士称，多数欺诈入金尝试没有成功，主要攻击来源约为七名用户，其中一人尝试入金约4000次。换句话说，问题未必需要庞大的犯罪网络：只要注册、绑卡和异常交易拦截存在缺口，少量账户也能反复试探平台。
我们9月21日的报道已经梳理过盗刷警报、超过80%的异常入金判定及 IPO 背景。当时仍不清楚实际损失规模，也缺少管理层的完整回应。此次新增信息把攻击路径说得更具体，但最关键的损失数字依然空缺。
真正薄弱的可能不是交易系统
另一起7月事件影响近500个账户。据《华尔街日报》报道，攻击者利用被盗个人信息接管账户，甚至不需要知道原用户名或密码。“账户接管”指攻击者冒用身份或钻注册流程的漏洞，取得现有账户控制权。风险直接落在用户身份、银行卡和余额上，与破解交易合约不是一回事。
这也是预测市场容易被忽略的一层基础设施。市场价格要成为可信信号，不能只看交易是否活跃，还要看钱从哪里来、谁在下注、账户是否确属本人。KYC（了解你的客户）、AML（反洗钱）、支付监控、异常交易调查和客户资金控制，共同决定交易量能否转化为可信价格。
同源出入金也是一道常见防线：资金原则上退回原支付来源，避免盗刷资金被转入另一个看似“干净”的账户。缩短提现步骤可能改善体验，却也可能削弱这道屏障。现有材料没有说明 Polymarket 在涉事期间具体采用了何种出入金规则，因此不能把这项一般风险直接算到平台头上。
风险不只来自盗刷者
预测市场还面对另一种更难处理的问题：下注者可能已经知道答案。据美国司法部和 Associated Press 报道，Google 软件工程师 Michele Spagnuolo 被控提前查看尚未公开的年度搜索数据，再以“AlphaRaccoon”之名押注 Polymarket 的 Google 热搜榜合约，获利超过120万美元。
另一宗案件中，一名参与委内瑞拉军事行动的美国军人被控利用机密情报，提前下注马杜罗是否会在指定日期前下台，获利约40万美元。Polymarket 表示由平台发现问题并通知司法部，CFTC 随后另行提起诉讼。
这两类风险指向同一个问题。链上钱包的交易可以公开，但公开一个钱包地址，不等于知道背后的人是谁，更不等于知道他是否掌握未公开信息。价格看似汇聚了群众判断，也可能混入盗刷资金、被接管账户或知情者的确定性下注。
补课有效，但答案还不完整
Polymarket 表示，公司此后加强了基础设施和管理团队。知情人士称，在限制用户可绑定的借记卡数量等措施实施后，欺诈率到5月已回落至行业常态。Sullivan & Cromwell 的内部调查认定公司遵守相关法规；Polymarket 也称，其市场完整性体系会识别、审查并处理可疑活动。
这些措施说明漏洞可以收紧，却没有回答全部问题：至少1000万美元是攻击者试图转移的金额，并非已确认损失；内部调查也不能替代外部监管结论。更重要的是，预测市场的核心产品不是下注界面，而是“价格值得相信”。牌照能解决准入问题，持续可靠的身份、支付与账户控制，才决定这种信任能否经得住增长。
局限与未知
- 《华尔街日报》没有披露最终被盗金额，也没有给出近500个受影响账户的具体损失。
- “不惜一切代价追求增长”及“合规失败模式”属于该报的概括，目前缺少第二个独立信源交叉印证。
- 现有材料不足以判断管理层何时掌握全部异常、各项措施何时上线，以及内部调查覆盖了哪些具体问题。