熱門話題
查看更多6.09萬 熱度
3.93萬 熱度
2.31萬 熱度
6.83萬 熱度
34.77萬 熱度
置頂
馬年大吉，抽獎行大運！成長值新年抽獎第 1️⃣6️⃣ 期盛大來襲！
抓住新年的好運，立即參與👉 https://www.gate.com/activities/pointprize?now_period=16
🌟 如何參與？
1️⃣ 在廣場發帖、評論、點贊，完成任務賺取成長值
2️⃣ 每積攢 300 積分，即可參與超值抽獎！
🎁 新年好運等你拿！獎品包括 iPhone 17、新年周邊、代幣等心動大禮！
活動時間：1 月 21 日 16:00 -- 1 月 31 日 24:00 (UTC+8）
活動詳情： https://www.gate.com/announcements/article/49388
#BTC #ETH #GT晒单有“金”喜，在 Gate 广场晒单晒图，瓜分 $10,000！
TradFi 黃金福袋活動震撼上線，每 10 分鐘狂送 1g 真金，交易不停，抽獎不斷！
👉 https://www.gate.com/announcements/article/49357
🎁 50 位幸運用戶 * 每人 $200 倉位體驗券（$10 × 20 倍）
參與方式：
1️⃣ 在 Gate 廣場帶話題 #Gate每10分钟送1克黄金 晒单，需包含：
交易或抽獎截圖+簡單體驗分享
2️⃣ 或在廣場創作相關圖片（可使用 AI 創作），並附一句宣傳語，如：
上 Gate App 搶黃金，每 10 分鐘送 1g！
⏰ 1 月 20 日 17:00 – 1 月 25 日 23:59（UTC+8）
Gate TradFi 我看行，黃金福袋衝衝衝！Gate 廣場創作者新春激勵正式開啟，發帖解鎖 $60,000 豪華獎池
如何參與：
報名活動表單：https://www.gate.com/questionnaire/7315
使用廣場任意發帖小工具，搭配文字發布內容即可
豐厚獎勵一覽：
發帖即可可瓜分 $25,000 獎池
10 位幸運用戶：獲得 1 GT + Gate 鸭舌帽
Top 發帖獎勵：發帖與互動越多，排名越高，贏取 Gate 新年周邊、Gate 雙肩包等好禮
新手專屬福利：首帖即得 $50 獎勵，繼續發帖还能瓜分 $10,000 新手獎池
活動時間：2026 年 1 月 8 日 16:00 – 1 月 26 日 24:00（UTC+8）
詳情：https://www.gate.com/announcements/article/49112每天看行情、刷大佬观点，却不发声？你的观点可能比你想的更有价值！
廣場新人 & 回歸福利進行中！首次發帖或久違回歸，直接送你獎勵！
每月 $20,000 獎金等你瓜分！
在廣場帶 #我在广场发首帖 發布首帖或回歸帖即可領取 $50 倉位體驗券
月度發帖王和互動王還將各獲額外 50U 獎勵
你的加密觀點可能啟發無數人，開始創作之旅吧！
👉️ https://www.gate.com/postGate 广場「創作者認證激勵計畫」優質創作者持續招募中！
立即加入，發布優質內容，參與活動即可瓜分月度 $10,000+ 創作獎勵！
認證申請步驟：
1️⃣ 打開 App 首頁底部【廣場】 → 點擊右上角頭像進入個人首頁
2️⃣ 點擊頭像右下角【申請認證】，提交申請等待審核
立即報名：https://www.gate.com/questionnaire/7159
豪華代幣獎池、Gate 精美周邊、流量曝光等超過 $10,000 的豐厚獎勵等你拿！
活動詳情：https://www.gate.com/announcements/article/47889
Polymarket上Top級Trading Bot Polycule被攻擊，預測市場項目該如何做好安全防範
作者：ExVul Security，Web3安全公司
一、事件速記
2026 年 1 月 13 日，Polycule 官方確認其 Telegram 交易機器人遭遇黑客攻擊，約 23 萬美元用戶資金被盜。團隊在 X 上快速更新：機器人隨即下線，修復補丁火速推進，並承諾 Polygon 端的受影響用戶將獲賠付。從昨晚到今天的幾輪通告，讓 Telegram 交易機器人賽道的安全討論持續升溫。
二、Polycule 如何運轉
Polycule 的定位很清晰：讓用戶在 Telegram 完成 Polymarket 上的市場瀏覽、倉位管理與資金調度。主要模塊包括：
開戶與面板：/start 會自動分配 Polygon 錢包並展示餘額，/home、/help 提供入口與指令說明。
行情與交易：/trending、/search、直接粘貼 Polymarket URL 都能拉取市場詳情；機器人提供市價/限價下單、訂單取消與圖表查看。
錢包與資金：/wallet 支持查看資產、提取資金、POL/USDC 互換、導出私鑰；/fund 指導充值流程。
跨鏈橋接：深度集成deBridge，幫助用戶從 Solana 橋入資產，並預設扣取 2% SOL 兌換成 POL 用於 Gas。
高級功能： /copytrade 打開複製交易界面，可按百分比、固定額度或自定義規則跟單，還能設置暫停、反向跟單、策略分享等擴展能力。
Polycule Trading Bot 負責與用戶對話、解析指令，也在後台管理密鑰、簽名交易並持續監聽鏈上事件。
用戶輸入 /start 後，後台自動生成 Polygon 錢包並保管私鑰，隨後可以繼續發送 /buy、/sell、/positions 等命令完成查盤、下單、管理倉位等操作。機器人還能解析 Polymarket 的網頁鏈接，直接返回交易入口。跨鏈資金則靠接入deBridge，支持把 SOL 橋接到 Polygon，並且預設抽出 2% SOL 換成 POL 供後續交易支付 Gas。更高級的功能包括 Copy Trading、限價單、自動監控目標錢包等，需要服務端長時間在線並持續代簽交易。
三、Telegram 交易機器人的共性風險
便利的聊天式交互背後，是幾個很難規避的安全短板：
首先，幾乎所有機器人都會把用戶私鑰放在自己的伺服器上，交易由後台直接代簽。這意味著一旦伺服器被攻破或者運維不慎洩露數據，攻擊者就能批量導出私鑰，把所有用戶的資金一次性卷走。其次，認證依賴 Telegram 帳號本身，若用戶遭遇 SIM 卡劫持或設備丟失，攻擊者無需掌握助記詞就能控制機器人帳號。最後，沒有本地彈窗確認這一步——傳統錢包每筆交易都需要用戶親自確認，而在機器人模式下，只要後台邏輯出了纰漏，系統就可能在用戶毫不知情的情況下自動把錢轉走。
四、Polycule 文件透露的特有攻面
結合文件內容，可以推測本次事件和未來潛在風險主要集中在以下幾點：
私鑰導出接口：/wallet 菜單允許用戶導出私鑰，說明後台保存的是可逆密鑰數據。一旦存在 SQL 注入、未授權接口或日誌洩漏，攻擊者便可直接調用導出功能，場景與此次被盜高度吻合。
**URL 解析可能觸發 SSRF：**機器人鼓勵用戶提交 Polymarket 連結獲取行情。如果輸入未經嚴密校驗，攻擊者可以偽造指向內網或雲服務元數據的連結，讓後台主動“踩坑”，進一步竊取憑證或配置。
**Copy Trading 的監聽邏輯：**複製交易意味著機器人會跟隨目標錢包同步操作。如果監聽到的事件可以被偽造，或者系統缺乏對目標交易的安全過濾，跟單用戶就有可能被帶入惡意合約，資金被鎖定甚至被直接抽走。
**跨鏈與自動換幣環節：**自動把 2% SOL 換成 POL 的流程涉及匯率、滑點、預言機和執行權限。如果程式碼中對這些參數的校驗不嚴密，黑客可能在橋接時放大換匯損失或轉移 Gas 預算。另外，一旦對 deBridge 回執的驗證有所欠缺，也會導致虛假充值或重複入帳的風險。
五、對專案團隊與用戶的提醒
專案團隊可以做的事情包括：在恢復服務前交付一份完整透明的技術復盤；對密鑰存儲、權限隔離、輸入校驗進行專項審計；重新梳理伺服器存取控制和程式碼發布流程；為關鍵操作引入二次確認或限額機制，降低進一步傷害。
終端用戶則應考慮控制在機器人中的資金規模，及時把盈利提走，並優先開啟 Telegram 的雙重驗證、獨立設備管理等防護手段。在專案方給出明確的安全承諾之前，不妨先觀望，避免追加本金。
六、後記
Polycule 的事故讓人再次意識到：當交易體驗被壓縮成一句聊天命令時，安全措施也得同步升級。Telegram 交易機器人短期內仍會是預測市場和 Meme 币的熱門入口，但這片領域也會持續成為攻擊者的狩獵場。我們建議專案方把安全建設當作產品的一部分，同步向用戶公開進展；用戶也應保持警覺，別把聊天快捷鍵當成無風險的資產管家。