预测市场双雷：Polymarket 遭 CFTC 审查、Myriad 被盗作废 10 个市场

2026 年 10 月 27 日，路透社报道美国商品期货交易委员会（CFTC）正在审查 Polymarket 是否遵守 2022 年和解协议中「不得向美国用户提供服务」的限制；审查重点包括地理位置识别、在美国的广告投放，以及其美国交易所的客户准入与保护措施。而在此之前的 10 月 26 日，BNB Chain 上的预测市场 Myriad 因管理员钱包被入侵，作废了 10 个市场并触发自动退款。

两件事放在一起看，正好勾勒出这个赛道在 2026 年的两个核心风险：监管合规和结算权限。本文把预测市场拆成三层讲清楚：它靠什么结算、2026 年的监管走到哪一步、以及普通用户实际会踩到哪些坑。

先把 2022 年那份和解协议说清楚

要看懂今年这次审查，必须先回到四年前。2022 年 1 月 3 日，CFTC 对 Blockratize, Inc. d/b/a Polymarket.com 下达命令（Docket No. 22-09），指控其违反《商品交易法》第 4c(b) 条（7 U.S.C. § 6c(b)）与第 5h(a)(1) 条（7 U.S.C. § 7b-3(a)(1)），以及 CFTC 条例 32.2 与 37.3(a)(1)。

核心事实是：Polymarket 在未注册为 SEF 或指定合约市场（DCM）的情况下，向美国人士提供事件型二元期权，而这类产品构成「掉期（swaps）」。

处罚与义务都很具体：

• 民事罚款 140 万美元（因「实质性配合」而获得减免）。
• 2022-01-14 前停止向不合规市场提供访问。
• 促成所有不合规市场「winding down」，并使参与者可全额赎回。
• 2022-01-24 前向 CFTC 书面证明已履行。

命令还披露了当时的规模：自 2020 年 6 月起约 900 个事件型二元期权市场、累计交易量超过 1.3 亿美元；开户只需 email 加用户名，不要求其他身份信息；结算由 Polymarket 内部的「Markets Integrity Committee」单方面决定。

2026 年的那次审查：目前只有媒体报道

这里必须说清楚证据强度。我们只找到路透社 2026-10-27 的报道及其转述，没有找到 CFTC 的新闻稿、命令或任何官方确认文件。报道要点是：

• 审查属于 2026 年早些时候已启动的更广泛 CFTC 调查的一部分，不是新的执法行动；
• 重点核查是否违反 2022 年和解条款——地理位置识别是否有效、是否仍在美国做营销、美国交易所的 onboarding 与客户保护是否到位；
• CFTC、Polymarket、DOJ 三方均拒绝置评；
• 报道同时提示：「an investigation by itself does not necessarily indicate wrongdoing」——被调查不等于违规。

还有一条常被忽略的时间线：2024 年 CFTC 就曾调查 Polymarket 是否遵守和解协议，DOJ 也有相关调查，两者于 2025 年 7 月结束、未提出指控；期间 FBI 曾于 2024 年 11 月搜查 CEO Shayne Coplan 的住所。也就是说，「被调查」在这个案子上已经发生过一轮，且以不起诉收场。

Polymarket 今天的合法身份：离岸站 ≠ 美国站

这一点最容易混淆，必须分开看：

1. 2025-07-21：Polymarket 宣布以 1.12 亿美元收购 QCEX（含持有 CFTC 牌照的 QCX, LLC 交易所与 QC Clearing LLC 清算所）。
2. 2025-07-09：CFTC 授予其美国实体合约市场指定（DCM designation），这一点在 2025 年的法庭文件中被引用。
3. 2025-11-25：CFTC 批准 Amended Order of Designation，允许以「intermediated」方式运营，即通过期货佣金商（FCM）接入美国客户，并须遵守 DCM 的全部 CEA/CFTC 规则。

所以今天存在两个不同的东西：离岸的 Polymarket（不受 CFTC 监管，也就是这次被审查「是否仍向美国人开放」的那个）与Polymarket US（持 DCM 牌照、走 FCM 中介）。同一事件在两个场所可能有不同价格和深度——这不是 bug，而是两套监管体系并存的结果。

Myriad 事件：结算权被拿走，市场就作废

第二件事更能说明「预测市场靠什么活着」。按多家媒体报道（Myriad 官方事故报告的原始链接我们未能取得）：

• 时间：攻击始于 2026-10-26 06:07 UTC。
• 手法：被攻陷的是 Myriad 内部用于自动创建/结算部分市场的 admin 钱包。攻击者用它买入头寸、宣布这些头寸为赢家、再领取赔付——不是抢流动性，而是直接改判结果。
• 根因：Myriad 将密钥暴露归因于一个未具名的第三方库漏洞，并称该暴露在数周前就已发生。
• 处置：作废 10 个市场；对受影响市场双边持有人按「份额 × 攻击前最后价格」自动退款，已从虚假结算中领走的奖金从退款中扣除；资金来自「追回资产 + 市场池」；用户无需提交申请，款项自动入钱包。
• 一个可查的示例：BscScan 记录显示，一笔 admin 交易结算了市场 105144（「OpenAI vs Anthropic IPO」），随后约 11,609 USDT 从市场合约转入该钱包，之后约 11,715 USDT 被卖出转往另一地址。

需要提醒的是：Myriad 声称「攻击者没有提走任何资金、资金已追回」，但 The Defiant 明确指出链上记录无法独立证实这一说法——转账本身不能证明谁控制收款地址。而总损失金额、受影响用户数、退款完成时间，官方均未披露。

这起事件的技术教训比金额更重要：预测市场里「谁能宣布结果」比「谁能交易」更关键。交易权限被盗，最多是有人抢跑；结算权限被盗，整个市场直接作废。

结算机制：你其实在赌「谁来宣布结果」

不同平台的结算路径差别很大，这直接决定了你的风险敞口：

• Polymarket（离岸）：依赖 UMA 乐观预言机——先提议结果，进入挑战窗口，有争议则升级到 UMA 的 DVM 仲裁。风险在于：如果提议错误且在挑战窗口内没人质疑，错误结果就会成交。
• Kalshi：持有 CFTC 的 DCM 牌照，规则与结算受联邦监管框架约束。
• Myriad：混合链下/链上订单簿，API 里有 oracle 字段；对「Myriad 自己结算的市场」该字段为空，即平台可自行结算——本次事件正是打在这个点上。

还有一层是「份额经济」：赢家每份结算 1 美元、输家 0，价格本身即市场隐含概率。这意味着价格不等于概率的真值，它只是参与者用钱投票的结果；当流动性薄或有人掌握非公开信息时，价格会系统性偏离。

2026 年的监管：联邦在推进，州在执法，法院在分裂

这是今年最值得记住的结构性事实——「拿到 CFTC 牌照」不等于在各州畅通无阻：

1. 2026-03-12：CFTC 市场监督部发布 Staff Advisory 指导 DCM 上市事件合约（重点体育合约），同日发布 ANPR 征求意见。
2. 2026-06-12：CFTC 在《联邦公报》发布拟议规则《Prediction Markets; Public Interest Determinations》（RIN 3038-AF65，91 FR 35806），拟明确哪些事件合约可能被认定「违背公共利益」而不得上市或清算，并定义「gaming」等概念；评论截止 2026-07-27。
3. 2026-04-06 第三巡回法院：KalshiEX v. Flaherty（No. 25-1922）维持初步禁令，认为 CEA 很可能优先适用新泽西州博彩法。
4. 2026-08-28 第九巡回法院：KalshiEX v. Assad（No. 25-7516）维持解除初步禁令，认为 CEA 很可能不优先适用内华达州博彩法，因为其体育事件合约不属于「swaps」，内华达可继续执法。

两个巡回法院得出相反结论，意味着同一个产品在 A 州合法、在 B 州可能被禁——地域差异在 2026 年仍然是预测市场最大的不确定性。

普通用户的六个真实风险

1. 结算争议：错误或过早的提议若在挑战窗口内无人质疑，就会成交。Polymarket 的 UMA 机制给了你质疑权，但需要你盯盘且有保证金。
2. 平台内部权限被攻破：Myriad 一次事件作废 10 个市场。即便承诺全额退款，你承担的是时间成本与「公司声称已追回」的信用风险。
3. 地域与执法风险：用 VPN 访问离岸平台本身可能带来执法风险。2026 年 4 月 23 日，CFTC 与 DOJ 就对现役陆军特种部队军士 Gannon Ken Van Dyke 提起平行民事/刑事行动，指其利用关于「Operation Absolute Resolve」的机密信息在 Polymarket 买入约 33,000 美元的「Yes」份额、获利约 409,881 美元，并用 VPN 掩盖位置（刑事案号 26 Cr. 156）。
4. 州级下架：第九巡回法院已允许内华达对 Kalshi 体育合约执法，其他州存在相反判决，平台可能因州而异被限制。
5. 内幕信息不对称：Van Dyke 案说明，掌握非公开信息者可以稳定获利。你面对的不是「纯粹的概率市场」，而是一个信息不对称市场。
6. 流动性碎片化：Polymarket 离岸站仅占 4%、Polymarket US 占 12%，同一事件在两个场所价格与深度都不同，而跨场所套利对普通用户并不开放。

如果你想对照其他「链上真实使用量」的数据，可以看AI 代理一年付了 1.38 亿笔链上支付里 x402 的实际调用规模；而对「谁在替资产做结算」这个问题的另一面，Arthur Hayes 2026 观点复盘提到的 AI 算力衍生品构想，本质上也是在设计一套新的结算与定价机制。

常见问题

Polymarket 在美国到底合不合法？

要分主体。离岸的 Polymarket 在 2022 年因未注册向美国人士提供事件型二元期权被罚 140 万美元，并被要求停止向不合规市场提供访问；持 DCM 牌照的是另一个实体 Polymarket US，2025-11-25 获 CFTC 批准以 FCM 中介方式运营。买「Polymarket 合法了」这个结论之前，先确认你用的是哪个站点。

被 CFTC 调查是不是意味着它要出事？

不能这样推。这次审查是「是否违反 2022 年和解条款」的合规核查，报道明确说被调查不等于违规；而且 2024 年那一轮同类调查（含 DOJ 的调查）在 2025 年 7 月结束、未提出指控。目前的证据强度只到「媒体报道」这一层，CFTC 未公开确认。

Myriad 那 10 个市场作废，我的钱怎么办？

按官方口径：受影响市场的双边持有人按「份额 × 攻击前最后价格」自动退款，已领走的奖金会从退款中扣除，无需提交申请。但要注意三点：①退款按攻击前价格而非你的买入成本计算；②资金来自「追回资产 + 市场池」，池子不足时的兑付顺序官方未披露；③「攻击者未提走资金」这一说法，链上记录无法独立证实。

为什么说结算权比交易权更危险？

因为交易权限被盗，最多是有人用错误价格成交；结算权限被盗，等于平台可以直接宣布谁是赢家。Myriad 这次就是 admin 钱包买入头寸→宣布为赢家→领取赔付，一步到位。选平台时，先看它的结算路径（乐观预言机、外部 oracle、还是平台自结算），再看手续费。

1,185 亿美元的成交额是真的吗？

是「合约面值」口径，不是实际投注金额。同一页面上，30 天实际支付现金为 287 亿美元，24 小时 38 亿美元。把面值当现金流引用，会把这个赛道夸大约 4 倍。

风险提示：预测市场合约属于高风险产品，可能损失全部本金，本文不构成投资建议。文中关于 CFTC 2026 年审查的内容仅来自媒体报道，未获监管机构公开确认；Myriad 事件的总损失、受影响用户数与资金追回情况均由项目方声明，未经独立核实；赛道成交量数据来自第三方统计，存在统计口径差异（合约面值 vs 实际支付现金）。不同司法辖区对事件合约的合法性认定不一致，参与前请确认你所在地区的法律状态与平台持牌情况。