Polymarket疑似遭数据泄露，逾30万条记录及漏洞利用工具包外泄

Polymarket疑遭重大数据泄露：逾30万条记录与漏洞工具包流入暗网

4月29日，区块链与加密资产领域传来一则令人警惕的消息：去中心化预测市场平台Polymarket疑似遭遇黑客入侵。一位名为“xorcat”的威胁行为者，在一个知名的网络犯罪论坛上，公开发布了超过30万条数据记录，并配套提供了一个完整的漏洞利用工具包。

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

根据泄露信息显示，攻击者并非通过常规路径入侵。他们利用了未公开的API端点、分页绕过机制，以及Polymarket的Gamma与CLOB（中央限价订单簿）API中存在的CORS（跨源资源共享）错误配置，从而成功提取了大量核心数据。

那么，这次泄露究竟包含了什么？数据规模相当惊人：

• 用户敏感信息：涉及1万名用户的完整个人信息，包括姓名、袋里钱&包地址以及基础地址。
• 平台交互数据：4111条用户评论，以及1000条举报记录。值得注意的是，这些举报记录中包含了58个ETH地址以及被管理员认证过的地址标识。
• 市场核心元数据：高达48,536个Gamma市场的元数据信息。
• 做市商地址暴露：超过25万个活跃CLOB市场的固定乘积做市商（CPMM）地址被泄露。
• 社交图谱：还有约9000个关注者关系的社交图谱数据。

这还没完。随数据一同发布的工具包，其专业程度更值得安全团队深入研究。其中包含了多个高危漏洞的概念验证（PoC）代码：

• CVE-2025-62718：这是一个Axios库的NO_PROXY绕过漏洞，CVSS评分高达9.9分。利用此漏洞，攻击者可以触发服务端请求伪造（SSRF），危害极大。
• CVE-2024-51479：一个Next.js中间件的认证绕过漏洞，CVSS评分为7.5分。
• CORS错误配置：攻击者正是利用此类配置问题完成了数据提取。

此外，工具包还附带了自动化的持续数据拉取脚本，以及一份完整的红队评估报告。这意味着，任何获取到此工具包的人，理论上都具备了针对类似漏洞进行攻击的能力。对于整个Web3生态而言，这无疑敲响了一次响亮的警钟——安全配置的疏忽，其代价可能远超想象。