世界杯今天落下帷幕。对许多人来说，这成为他们首次接触加密货币的契机。原因在于预测市场。它们为足球迷提供了一种新的方式来对比赛结果下注。这种下注方式看起来比使用传统博彩公司更可靠、透明。显然，博彩公司认真对待了这场竞争，并利用其游说力量在一些国家推动将最知名的预测市场 Polymarket 禁止。在赛事期间，Polymarket 已在捷克和法国被禁止或列入非法平台名单。印度、印尼和西班牙在赛事开始前不久采取了类似措施，而巴西和阿根廷则在春季更早的时候采取了行动。
为什么喜欢下注的足球迷越来越多地选择像 Polymarket 这样的平台，而不是传统博彩公司？因为在预测市场上一切看起来比在博彩公司那儿更清晰、更公平、更可靠。所有与加密货币相关的复杂性都被隐藏起来。你可以用 Google 注册，或连接 MetaMask、Trust Wallet 或任何其他钱包。然后你所要做的就是选择一个结果并下注你愿意承担的金额。
但在这种简化背后隐藏着一些即便是相当有经验的加密货币用户也可能不知道的威胁。想象一下完全的新手会有多脆弱，尤其是在被下注的兴奋所感染时。
这些就是我今天想在文章中讨论的威胁。
Polymarket 真正比博彩公司更公平的地方
当你在传统博彩公司下注时，公司本身就是你的对手方。它计算赔率，在其中加入自身的利润边际，承担特定结果的风险，并可能更改条款、限制你的下注额度或干脆拒绝接受你的下注。
Polymarket 使用的是另一种模型。你的对手方是和你一样的另一位平台用户。你们之间唯一的区别是对比赛或其它事件结果的看法。假设那位用户在一个结果上投入了 0.60 美元，期望获得 1 美元，而你在相反的结果上投入 0.40 美元以获得同样的 1 美元。你的订单会自动匹配，创建一对完全有担保的“是”和“否”代币。比赛结束后，依据最终结果，其中一个代币可以兑换为 1 美元。
Polymarket 上的一切比任何博彩公司都更灵活。每位用户都可以查看订单簿中其他参与者提交的所有订单并自行设定价格。如果用户改变主意，或者市场走势对其有利且头寸已盈利，他们也可以在事件结束前出售他们的下注。在这方面，Polymarket 更像是一个交易所而不是博彩公司。
结算通过 Polygon 网络上的智能合约进行。智能合约无法知道比赛或任何其他现实世界事件的结果。因此必须由参与市场的某人提交该结果。你可以自己提交。如果你判断错误，任何其他参与者都可以对你的决定提出异议。争议随后交由 UMA 代币持有者投票决定，而投票结果被视为最终裁决。这比博彩公司内部封闭的流程要透明得多。
但透明并不必然等同于对用户安全的保障。
Polymarket 并不像看起来那样去中心化
人们有时把 Polymarket 描述为去中心化的博彩公司。但这句话中的两个词都不准确。首先，它不是一家博彩公司，因为它不设定赔率，也不承担任何特定结果的风险。其次，Polymarket 中真正去中心化的部分非常少。
Polymarket 的文档将其交易系统称为“混合去中心化（hybrid-decentralized）”。订单由一个集中化的运营方匹配。用于在区块链上记录交易的 gas 通过平台的网关支付，这意味着没有平台的配合交易无法完成。每一个新市场由团队创建。尽管它接受社区的建议，用户却无法自己创建新市场。Polymarket 团队还起草决议标准并选择随后将用于确定结果的来源。
这些都是集中化做法的例子。那么究竟还有什么是去中心化的？老实说，我不知道。也许只有市场参与者的构成是开放的。任何人都被允许进行交易。
乍看之下，争议解决是一个去中心化的过程。但执行投票决议的智能合约受一个管理员控制，该管理员有权手动决定支付。可笑的是，Polymarket 的其中一个具有该权限的管理员地址 在 Polygonscan 上被标记为已被攻破。
即便是已开放市场的规则有时也可能由团队集中澄清。Polymarket 可以发布它所说的“补充背景”，要求参与者在争议解决过程中予以考虑。这些澄清会被记录在区块链上，根据规则，理论上不应改变问题的原始含义。但这种机制本身就显示出问题措辞在多大程度上依赖于集中化团队的准备。
因此，在这里，用户对平台管理员的依赖并不比在传统博彩公司少。
屏幕上的价格并不总是你的成交价格
想象一下，赛前博彩公司给你选择的结果开出的赔率是 1.25。换句话说，你需要押 0.80 美元以赢得 1 美元。与此同时，Polymarket 显示该结果的概率为 75%。那是不是意味着你可以用 0.75 美元买入“是”代币？在有人愿意在相反结果上投入 0.25 美元的情况下可以。但不能保证会有人这样做。
Polymarket 显示的概率通常是最佳买价和最佳卖价之间的中点。
举例来说，如果买价是 0.70 美元，卖价是 0.80 美元，屏幕上可能显示 75%。但立即买入的成本至少为 0.80 美元，而立即卖出只能得到 0.70 美元。如果买卖价差超过 0.10 美元，Polymarket 会显示最近成交价而非中点，而该价格可能与当前市场价相差数倍。
主要的足球市场通常有足够的流动性，因此显示概率与实际上可得价格之间的差距较小。但在小众事件中，打算进行大额交易的任何人也需要查看有多少对手方订单可用。
博彩公司给出的赔率可能更差并包含不透明的抽水。但用户通常能立即看到下注被接受的具体价格。
Polymarket 的价格形成更公平，但用户仍需知道如何解读这些价格。并非所有在兴奋中行动的人都能做到这一点。
每一次下注都是与 Web3 钱包的交互
传统博彩公司每位客户都会把资金交给公司，公司负责保管安全。Polymarket 用户也会把资金——加密货币或稳定币——交给平台，但从那一刻起，用户就承担了全部责任。
作为向 Polymarket 转入资产的回报，用户会收到平台的内部代币——pUSD。它们在平台外几乎没有流通。它们有点像赌场筹码：可用于下注或交易，然后再返还给平台以兑换普通加密资产。
但从技术上讲，这些代币是存储在用户个人钱包里的，而且该钱包必须用于为每笔交易签名。
即便你用 Google 注册，Polymarket 网站界面也会为你创建一个专门的 Web3 钱包并嵌入其中。这个钱包只能通过你的浏览器访问，这意味着你个人需要负责保障其中资金的安全。
当使用外部钱包时，会涉及签名、授权和地址。用户总是会看到一个技术性的 Web3 钱包窗口要求他们确认交易。但用于此过程的 EIP-712 签名对于没有区块链深度知识的人而言看起来像一堆技术性乱码。问问你自己：你是否总是确切地理解自己在签署什么？我相信很多人会回答“不”。否则我们就不会看到那么多令人沮丧的故事，讲述 Web3 钱包用户在签署钓鱼交易后损失巨额资金。
在 rabbit.io，我们在客户创建交易订单时刻意避免将他们的钱包连接到我们的网站。相反，我们只是提供一个地址，要求你将加密货币发送到该地址。你将该地址复制到你的钱包中，然后确认你自己创建的交易。这清晰且安全。
而在 Polymarket，每笔交易都是由网站上的脚本自动生成的。你不需要复制任何东西到别处。你所要做的只是点击钱包弹窗中的确认按钮。这也为一种特别危险的骗局奠定了基础。
会把你资金掏空的书签
随着 Polymarket 越来越受欢迎，承诺通过自动化脚本或 AI 代理从下注中赚钱的提议也越来越多。在 YouTube 上搜索如何在一周内通过 Polymarket 赚 1000 美元，你会找到很多选项。我不会链接到它们，因为我不想为那些视频引流。它们大多数都是骗局。
视频背后的人会提供一个指向机器人或“AI 助手”的链接。你点击它，会看到说明：“打开浏览器，创建一个新的书签，把这段代码复制到书签地址栏并保存。”
你照着做了。一个书签出现在你的浏览器栏。它看起来不过是一个用于启动与 Polymarket 界面交互的复杂机器人的已保存链接。
然后你打开 Polymarket 并点击该书签。就在那一刻，你的钱包被掏空。
存储在书签里的代码会做以下事情：
- 读取你浏览器中的数据，包括钱包地址、余额和身份验证令牌。
- 确定你是如何登录的——通过 Google 还是通过钱包。
- 如果你通过 Google 登录，它会使用一个隐藏的框架签署一笔提取交易。
- 如果你通过钱包登录，它会要求你签署一条看起来像莫名其妙的技术性 EIP-712 结构化消息。
- 它把钱发送到骗子的地址。
没有人可以为损失负责，也没有人可以承担责任。你自己把代码添加到了浏览器。你自己点击了书签。从浏览器的角度看，这是你的操作。
这种骗局会更广泛传播有两个原因。第一，很少有人理解什么是 EIP-712、为什么浏览器会请求权限或该权限涵盖什么。第二，骗子无需入侵 Polymarket 或开发复杂的漏洞。他们所需做的只是说服某人粘贴一段代码。在预测市场这样有前景的领域里，当承诺是轻松赚钱时，这并不难做到。
为什么世界杯是骗子的完美时机
在加密行业，当同时满足以下三个条件时，社会工程学攻击尤其有效：
- 用户手中有大量资金。
- 有一批新受众出现，他们没有建立起既有的加密安全习惯。
- 对建议、策略、信号和“秘密方法”的需求巨大。
世界杯在 Polymarket 上一次性创造了这三种条件。
足球迷可能理解为什么某支国家队比另一支更强，但却不理解连接钱包、用 Google 登录、签署消息、授权智能合约以及发送交易之间的区别。这就是为什么骗局视频的制作者仅凭自信地演示一个观众听说过但从未真正使用过的平台的使用，就可能显得更有知识性。
传统博彩公司也会被钓鱼网站模仿，博彩账户也会被恶意软件盗用。但博彩公司有投诉程序，并对保存在用户账户中的资金承担责任。此外，对于涉及的每一笔金额，博彩公司、客户和监管机构都知道谁拥有这些资金，因为所有受监管博彩公司都要求客户进行身份验证。这并不改变这样的事实：博彩公司可能会制定规则允许它限制成功的玩家、作废下注或延迟提款审查。但博彩公司整体上不太可能直接偷走你的钱。
然而如果骗子获得了有效的加密签名并将资产转移到自己的地址，通常就没有人可以与之争辩。智能合约无法判断你是知情授权还是被欺骗后提供了签名。对合约而言，签名要么有效，要么无效。
Polymarket 真比传统博彩公司更危险吗？
对于加密新手而言，很可能是。危险来自于一些不熟练的用户甚至不知道存在的威胁。
在价格形成、市场数据访问、参与者间交易和链上结算方面，Polymarket 比传统博彩公司更透明。平台并非在每一种头寸上永远与你为敌，也没有让你输的兴趣。
但当用户依赖熟悉的消费者保护形式时，博彩公司往往更安全：账户恢复、支付争议以及提出投诉的能力。Polymarket 藉由“混合去中心化”的外衣来躲避对用户损失的法律责任。
今天，足球迷正在对最终冠军下最后一注。我希望如果你决定第一次在 Polymarket 上下注，这篇文章能帮助你避免主要错误：不要把屏幕上显示的价格误认为是中点，不要把一条技术性签名误认为是提款交易，也不要把会掏空钱包的程序当成有用的浏览器书签。
