Polycule 大盜事件曝光：Telegram 交易機器人為何成為黑客狩獵場

预测市場正在迎來一波 Telegram 交易機器人的爆發，但這股熱潮背後，正是黑客們虎視眈眈的新獵場。

突如其來的 23 萬美元被盜案

1 月 13 日，知名預測市場交互工具 Polycule 官方爆出一起重大安全事件：其 Telegram 交易機器人遭黑客入侵，約 23 萬美元的用戶資金在瞬間被盜一空。團隊緊急反應，機器人隨即下線，並在鏈上承諾對 Polygon 網路上的受損用戶進行賠付。這起事件再次敲響警鐘——當交易體驗被濃縮成一條 Telegram 訊息時，安全防線有多脆弱？

Polycule 是如何運作的：方便背後的代價

Polycule 的核心吸引力很簡單：用戶無需離開 Telegram，就能在 Polymarket 上瀏覽市場、管理倉位、調度資金。看似無縫的體驗，實際上是建立在一套複雜的後台系統之上。

當用戶輸入 /start 時，後台會自動生成一個 Polygon 錢包並保管其私鑰——這個設計選擇至關重要。隨後，用戶可以透過各種指令完成交易：/trending 查看熱門市場、/search 搜索特定預測、直接貼上 Polymarket 連結獲取行情，甚至可以用 /buy、/sell 直接下單。

Polycule 的亮點功能包括：

• 錢包管理：/wallet 菜單支持查看資產、提取資金、POL/USDC 互換，甚至允許導出私鑰
• 跨鏈橋接：深度整合 deBridge 協議，用戶可從 Solana 橋入資產，系統自動扣取 2% SOL 並兌換成 POL 用於支付 Gas 費
• Copy Trading：這是最高級的功能——用戶可以按百分比、固定額度或自訂規則跟單其他錢包的操作，甚至支持反向跟單和策略分享

這一切都由 Polycule 的中央伺服器在後台代簽交易、監聽鏈上事件、持續管理密鑰。便利的背後，是集中化風險的積累。

聊天機器人模式的系統性漏洞

Telegram 交易機器人之所以容易成為攻擊目標，歸根結底是這個模式本身就存在三個難以規避的結構性問題：

第一道防線失效：私鑰中央化存放

幾乎所有 Telegram 交易機器人都會把用戶私鑰存放在自己的伺服器上，由後台代簽每一筆交易。這個設計雖然提升了用戶體驗（不需要手動授權），但同時也意味著：一旦伺服器被攻破、資料庫被拖庫、或者運維人員不慎洩露配置檔，攻擊者就能批量導出所有用戶的私鑰，進而在瞬間轉移數百萬美元的資金。

第二道防線缺陷：身份驗證單一

認證完全依賴 Telegram 帳號本身。如果用戶遭遇 SIM 卡劫持、手機遺失或帳號被盜，攻擊者無需知道任何助記詞或密碼，僅憑控制 Telegram 帳號就能完全接管機器人錢包。

第三道防線缺失：缺乏用戶確認機制

傳統錢包的每一筆交易都需要用戶在本地彈窗上親自確認——這是最後一道人工防線。但機器人模式下，用戶和機器人的對話是非同步的、文字化的，沒有任何明確的「確認」環節。一旦後台邏輯出現漏洞或被篡改，系統可能在用戶毫不知覺的情況下自動轉走資金。

Polycule 事件暴露的特定攻擊面

結合 Polycule 的功能設計，此次被盜事件和潛在風險點可能集中在以下幾個方向：

私鑰導出的權限漏洞

/wallet 菜單允許用戶隨時導出私鑰，這說明後台保存的是可逆的密鑰資料（而不是單向哈希）。如果存在 SQL 注入、未授權 API 介面、或者日誌檔洩漏，攻擊者可以直接調用導出功能批量提取私鑰——這與此次大規模被盜的場景高度吻合。

URL 解析可能觸發 SSRF 攻擊

Polycule 鼓勵用戶提交 Polymarket 連結以快速獲取市場詳情，但如果對輸入的 URL 校驗不嚴，攻擊者可以偽造指向內網或雲端服務元資料的連結。機器人後台在解析這類連結時，會主動「踩坑」，進而暴露內部 IP、資料庫憑證、AWS 密鑰等敏感資訊。

Copy Trading 的事件監聽風險

複製交易功能意味著機器人需要即時監聽目標錢包的鏈上操作。如果這些監聽事件可以被偽造，或者系統缺乏對目標交易的安全過濾，跟單用戶可能被誘導與惡意合約互動，導致資金鎖定甚至直接被抽走。

跨鏈與自動換幣的多重風險

自動將 2% SOL 兌換成 POL 的流程涉及匯率查詢、滑點控制、預言機調用和權限執行。如果程式碼對這些參數的校驗不夠嚴格，黑客可以在橋接時放大換匯損失、轉移 Gas 預算，甚至透過偽造 deBridge 的回執來製造虛假充值或重複入帳。

項目和用戶該如何應對

對項目團隊的建議

• 在恢復服務前發布完整的技術復盤，明確說明被攻擊的具體環節
• 對密鑰存儲機制、權限隔離、輸入校驗進行專案的第三方安全審計
• 重新梳理伺服器存取控制、程式碼發布流程、運維規範
• 為關鍵操作（如私鑰導出、大額轉帳）引入二次確認或限額機制，降低單點風險
• 建立透明的安全監控與事件回應機制，定期向用戶披露

對終端用戶的建議

• 不要將大額資金長期存放在機器人錢包中，應設定一個合理的頭寸上限
• 及時提取交易收益，不要讓利潤在機器人中複利累積
• 立即開啟 Telegram 的雙重驗證（Two-Step Verification）和高級安全選項
• 在不同裝置上管理不同的 Telegram 帳號，避免單點故障
• 在項目方給出明確的安全承諾和完整復盤之前，不妨觀望一段時間，切勿急著追加本金

預測市場與 Telegram 機器人的未來

Telegram 交易機器人短期內仍會是預測市場和 Meme 币的熱門入口，其便利性是難以抗拒的。但這個賽道同時也會持續成為攻擊者的狩獵場——只要用戶的私鑰還被集中管理，風險就始終存在。

關鍵在於項目方的態度。安全不應該是事後補救，而應從產品設計的第一天就融入其中。無論是引入本地簽名、實現 MPC 錢包、還是推出硬體錢包整合，都是可行的方向。同時，向用戶透明地披露安全進展、建立信任，也成為了市場競爭的重要因素。

Polycule 的這起事件，其實是在告訴整個產業：當我們享受聊天快捷鍵的便利時，也必須為集中化風險付出代價。