攻击概述
据区块链情报公司AMLBot监测，近日去中心化预测市场平台Polymarket的部分用户在Polygon网络上遭遇前端恶意脚本攻击，损失约310万美元的PUSD。攻击者在Polymarket的前端页面中植入了恶意JavaScript代码，当用户连接钱包并执行交易时，脚本会诱导用户签署一笔看似正常的授权交易，实际上却是调用EIP-7702委托执行（delegate execution）功能的恶意合约调用。这一过程使得攻击者能够在未经用户二次确认的情况下，将用户钱包内的PUSD代币全部转出。被盗资金随后通过Relay跨链桥转换为USDC.e，并桥接至以太坊主网，最终兑换为ETH并集中至三个新钱包地址，目前合计持有约1891.9枚ETH。
攻击手法深度解析
EIP-7702是Ethereum Improvement Proposal，允许外部拥有账户（EOA）在单笔交易中临时获得合约代码，从而实现委托执行。攻击者通过构造特制的EIP-7702交易，使用户钱包在不知情的情况下授权恶意合约进行转账。这种攻击方式与2024年1inch网页应用被黑事件高度相似——当时攻击者利用了第三方Lottie Player动画库的漏洞，在其发布版本中植入窃取脚本，导致访问1inch前台页面的用户钱包被清空。AMLBot指出，本次Polymarket攻击再一次印证了第三方前端依赖库已成为DeFi安全链条中的薄弱环节。攻击者可能通过攻破某个被Polymarket前端引用的CDN包或JavaScript库，替换为恶意版本，从而实现对合法网站的“前端投毒”。
被盗资产追踪与现状
链上数据显示，被盗PUSD资金首先通过Relay转换为USDC.e，随后桥接至以太坊主网。在以太坊上，USDC.e被兑换为ETH，并经过多次拆分、合并后，最终集中存放于三个新创建的地址中。截至发稿，这三个地址共持有约1891.9枚ETH，价值接近400万美元（因ETH价格波动）。目前尚无进一步的洗钱行为，但攻击者尚未暴露身份。AMLBot将继续监控相关地址。
安全建议
此次事件再次敲响警钟：前端安全是DeFi生态系统中最容易被忽视但破坏力极大的风险点。对于用户而言，建议始终使用硬件钱包，并在签署任何交易前仔细审查交易详情，特别是合约地址和调用的函数。可以使用安全插件如Scam Sniffer、Pocket Universe等辅助识别恶意授权。同时，定期访问Etherscan的Token Approval功能或Revoke.cash等工具，撤销不必要的授权。对于项目方，应采取严格的第三方依赖审查机制，实施内容安全策略（CSP）和子资源完整性（SRI）检查，并考虑自托管关键库或使用whitelist CDN。此外，建立应急响应机制，一旦发现前端异常，立即暂停前端服务并通知用户。