預測市場雙雷：Polymarket 遭 CFTC 審查、Myriad 被盜作廢 10 個市場

2026 年 10 月 27 日，路透社報導美國商品期貨交易委員會（CFTC）正在審查 Polymarket 是否遵守 2022 年和解協議中「不得向美國使用者提供服務」的限制；審查重點包括地理位置識別、在美國的廣告投放，以及其美國交易所的客戶准入與保護措施。而在此之前的 10 月 26 日，BNB Chain 上的預測市場 Myriad 因管理員錢包被入侵，作廢了 10 個市場並觸發自動退款。

兩件事放在一起看，正好勾勒出這個賽道在 2026 年的兩個核心風險：監管合規和結算權限。本文把預測市場拆成三層講清楚：它靠什麼結算、2026 年的監管走到哪一步、以及一般使用者實際會踩到哪些坑。

先把 2022 年那份和解協議說清楚

要看懂今年這次審查，必須先回到四年前。2022 年 1 月 3 日，CFTC 對 Blockratize, Inc. d/b/a Polymarket.com 下達命令（Docket No. 22-09），指控其違反《商品交易法》第 4c(b) 條（7 U.S.C. § 6c(b)）與第 5h(a)(1) 條（7 U.S.C. § 7b-3(a)(1)），以及 CFTC 條例 32.2 與 37.3(a)(1)。

核心事實是：Polymarket 在未註冊為 SEF 或指定合約市場（DCM）的情況下，向美國人士提供事件型二元選擇權，而這類產品構成「交換（swaps）」。

處罰與義務都很具體：

• 民事罰款 140 萬美元（因「實質性配合」而獲得減免）。
• 2022-01-14 前停止向不合規市場提供存取。
• 促成所有不合規市場「winding down」，並使參與者可全額贖回。
• 2022-01-24 前向 CFTC 書面證明已履行。

命令還披露了當時的規模：自 2020 年 6 月起約 900 個事件型二元選擇權市場、累計交易量超過 1.3 億美元；開戶只需 email 加使用者名稱，不要求其他身分資訊；結算由 Polymarket 內部的「Markets Integrity Committee」單方面決定。

2026 年的那次審查：目前只有媒體報導

這裡必須說清楚證據強度。我們只找到路透社 2026-10-27 的報導及其轉述，沒有找到 CFTC 的新聞稿、命令或任何官方確認文件。報導要點是：

• 審查屬於 2026 年早些時候已啟動的更廣泛 CFTC 調查的一部分，不是新的執法行動；
• 重點核查是否違反 2022 年和解條款——地理位置識別是否有效、是否仍在美國做行銷、美國交易所的 onboarding 與客戶保護是否到位；
• CFTC、Polymarket、DOJ 三方均拒絕置評；
• 報導同時提示：「an investigation by itself does not necessarily indicate wrongdoing」——被調查不等於違規。

還有一條常被忽略的時間線：2024 年 CFTC 就曾調查 Polymarket 是否遵守和解協議，DOJ 也有相關調查，兩者於 2025 年 7 月結束、未提出指控；期間 FBI 曾於 2024 年 11 月搜查 CEO Shayne Coplan 的住所。也就是說，「被調查」在這個案子上已經發生過一輪，且以不起訴收場。

Polymarket 今天的合法身分：離岸站 ≠ 美國站

這一點最容易混淆，必須分開看：

1. 2025-07-21：Polymarket 宣布以 1.12 億美元收購 QCEX（含持有 CFTC 牌照的 QCX, LLC 交易所與 QC Clearing LLC 清算所）。
2. 2025-07-09：CFTC 授予其美國實體合約市場指定（DCM designation），這一點在 2025 年的法庭文件中被引用。
3. 2025-11-25：CFTC 批准 Amended Order of Designation，允許以「intermediated」方式營運，即透過期貨商（FCM）接入美國客戶，並須遵守 DCM 的全部 CEA/CFTC 規則。

所以今天存在兩個不同的東西：離岸的 Polymarket（不受 CFTC 監管，也就是這次被審查「是否仍向美國人開放」的那個）與Polymarket US（持 DCM 牌照、走 FCM 中介）。同一事件在兩個場所可能有不同價格和深度——這不是 bug，而是兩套監管體系並存的結果。

Myriad 事件：結算權被拿走，市場就作廢

第二件事更能說明「預測市場靠什麼活著」。按多家媒體報導（Myriad 官方事故報告的原始連結我們未能取得）：

• 時間：攻擊始於 2026-10-26 06:07 UTC。
• 手法：被攻陷的是 Myriad 內部用於自動建立/結算部分市場的 admin 錢包。攻擊者用它買入部位、宣布這些部位為贏家、再領取賠付——不是搶流動性，而是直接改判結果。
• 根因：Myriad 將金鑰暴露歸因於一個未具名的第三方函式庫漏洞，並稱該暴露在數週前就已發生。
• 處置：作廢 10 個市場；對受影響市場雙邊持有人按「份額 × 攻擊前最後價格」自動退款，已從虛假結算中領走的獎金從退款中扣除；資金來自「追回資產 + 市場池」；使用者無需提交申請，款項自動入錢包。
• 一個可查的範例：BscScan 紀錄顯示，一筆 admin 交易結算了市場 105144（「OpenAI vs Anthropic IPO」），隨後約 11,609 USDT 從市場合約轉入該錢包，之後約 11,715 USDT 被賣出轉往另一地址。

需要提醒的是：Myriad 聲稱「攻擊者沒有提走任何資金、資金已追回」，但 The Defiant 明確指出鏈上紀錄無法獨立證實這一說法——轉帳本身不能證明誰控制收款地址。而總損失金額、受影響使用者數、退款完成時間，官方均未披露。

這起事件的技術教訓比金額更重要：預測市場裡「誰能宣布結果」比「誰能交易」更關鍵。交易權限被盜，最多是有人搶跑；結算權限被盜，整個市場直接作廢。

結算機制：你其實在賭「誰來宣布結果」

不同平台的結算路徑差別很大，這直接決定了你的風險敞口：

• Polymarket（離岸）：依賴 UMA 樂觀預言機——先提議結果，進入挑戰視窗，有爭議則升級到 UMA 的 DVM 仲裁。風險在於：如果提議錯誤且在挑戰視窗內沒人質疑，錯誤結果就會成交。
• Kalshi：持有 CFTC 的 DCM 牌照，規則與結算受聯邦監管框架約束。
• Myriad：混合鏈下/鏈上訂單簿，API 裡有 oracle 欄位；對「Myriad 自己結算的市場」該欄位為空，即平台可自行結算——本次事件正是打在這個點上。

還有一層是「份額經濟」：贏家每份結算 1 美元、輸家 0，價格本身即市場隱含機率。這意味著價格不等於機率的真值，它只是參與者用錢投票的結果；當流動性薄或有人掌握非公開資訊時，價格會系統性偏離。

2026 年的監管：聯邦在推進，州在執法，法院在分裂

這是今年最值得記住的結構性事實——「拿到 CFTC 牌照」不等於在各州暢行無阻：

1. 2026-03-12：CFTC 市場監督部發布 Staff Advisory 指導 DCM 上市事件合約（重點運動合約），同日發布 ANPR 徵求意見。
2. 2026-06-12：CFTC 在《聯邦公報》發布擬議規則《Prediction Markets; Public Interest Determinations》（RIN 3038-AF65，91 FR 35806），擬明確哪些事件合約可能被認定「違背公共利益」而不得上市或清算，並定義「gaming」等概念；評論截止 2026-07-27。
3. 2026-04-06 第三巡迴法院：KalshiEX v. Flaherty（No. 25-1922）維持初步禁制令，認為 CEA 很可能優先適用紐澤西州博彩法。
4. 2026-08-28 第九巡迴法院：KalshiEX v. Assad（No. 25-7516）維持解除初步禁制令，認為 CEA 很可能不優先適用內華達州博彩法，因為其運動事件合約不屬於「swaps」，內華達可繼續執法。

兩個巡迴法院得出相反結論，意味著同一個產品在 A 州合法、在 B 州可能被禁——地域差異在 2026 年仍然是預測市場最大的不確定性。

一般使用者的六個真實風險

1. 結算爭議：錯誤或過早的提議若在挑戰視窗內無人質疑，就會成交。Polymarket 的 UMA 機制給了你質疑權，但需要你盯盤且有保證金。
2. 平台內部權限被攻破：Myriad 一次事件作廢 10 個市場。即便承諾全額退款，你承擔的是時間成本與「公司聲稱已追回」的信用風險。
3. 地域與執法風險：用 VPN 存取離岸平台本身可能帶來執法風險。2026 年 4 月 23 日，CFTC 與 DOJ 就對現役陸軍特種部隊軍士 Gannon Ken Van Dyke 提起平行民事/刑事行動，指其利用關於「Operation Absolute Resolve」的機密資訊在 Polymarket 買入約 33,000 美元的「Yes」份額、獲利約 409,881 美元，並用 VPN 掩蓋位置（刑事案號 26 Cr. 156）。
4. 州級下架：第九巡迴法院已允許內華達對 Kalshi 運動合約執法，其他州存在相反判決，平台可能因州而異被限制。
5. 內線資訊不對稱：Van Dyke 案說明，掌握非公開資訊者可以穩定獲利。你面對的不是「純粹的機率市場」，而是一個資訊不對稱市場。
6. 流動性碎片化：Polymarket 離岸站僅佔 4%、Polymarket US 佔 12%，同一事件在兩個場所價格與深度都不同，而跨場所套利對一般使用者並不開放。

如果你想對照其他「鏈上真實使用量」的資料，可以看AI 代理一年付了 1.38 億筆鏈上支付裡 x402 的實際呼叫規模；而對「誰在替資產做結算」這個問題的另一面，Arthur Hayes 2026 觀點回顧提到的 AI 算力衍生性商品構想，本質上也是在設計一套新的結算與定價機制。

常見問題

Polymarket 在美國到底合不合法？

要分主體。離岸的 Polymarket 在 2022 年因未註冊向美國人士提供事件型二元選擇權被罰 140 萬美元，並被要求停止向不合規市場提供存取；持 DCM 牌照的是另一個實體 Polymarket US，2025-11-25 獲 CFTC 批准以 FCM 中介方式營運。買「Polymarket 合法了」這個結論之前，先確認你用的是哪個站點。

被 CFTC 調查是不是意味著它要出事？

不能這樣推。這次審查是「是否違反 2022 年和解條款」的合規核查，報導明確說被調查不等於違規；而且 2024 年那一輪同類調查（含 DOJ 的調查）在 2025 年 7 月結束、未提出指控。目前的證據強度只到「媒體報導」這一層，CFTC 未公開確認。

Myriad 那 10 個市場作廢，我的錢怎麼辦？

按官方口徑：受影響市場的雙邊持有人按「份額 × 攻擊前最後價格」自動退款，已領走的獎金會從退款中扣除，無需提交申請。但要注意三點：①退款按攻擊前價格而非你的買入成本計算；②資金來自「追回資產 + 市場池」，池子不足時的兌付順序官方未披露；③「攻擊者未提走資金」這一說法，鏈上紀錄無法獨立證實。

為什麼說結算權比交易權更危險？

因為交易權限被盜，最多是有人用錯誤價格成交；結算權限被盜，等於平台可以直接宣布誰是贏家。Myriad 這次就是 admin 錢包買入部位→宣布為贏家→領取賠付，一步到位。選平台時，先看它的結算路徑（樂觀預言機、外部 oracle、還是平台自結算），再看手續費。

1,185 億美元的成交額是真的嗎？

是「合約面值」口徑，不是實際投注金額。同一頁面上，30 天實際支付現金為 287 億美元，24 小時 38 億美元。把面值當現金流引用，會把這個賽道誇大約 4 倍。

風險提示：預測市場合約屬於高風險產品，可能損失全部本金，本文不構成投資建議。文中關於 CFTC 2026 年審查的內容僅來自媒體報導，未獲監管機構公開確認；Myriad 事件的總損失、受影響使用者數與資金追回情況均由專案方聲明，未經獨立核實；賽道成交量資料來自第三方統計，存在統計口徑差異（合約面值 vs 實際支付現金）。不同司法轄區對事件合約的合法性認定不一致，參與前請確認你所在地區的法律狀態與平台持牌情況。