Polymarket setzte den Handel am 29. Oktober 2026 für etwa eine Stunde aus, nachdem Angreifer mithilfe eines kompromittierten Skripts eines Drittanbieters die Positionen von Nutzern verkaufen und deren Gelder ohne Genehmigung verschieben konnten, berichtete Cointribune. Die Verluste wurden auf mindestens 2,6 Millionen US-Dollar bei mehr als 700 Konten geschätzt.

Händler berichteten von nicht autorisierten Verkäufen und geleerten Guthaben. Ein Nutzer gab an, 800.000 US-Dollar verloren zu haben, während das Konto eines anderen um 600.000 US-Dollar geleert wurde. Polymarket versprach, allen Betroffenen den Schaden zu ersetzen, und erklärte, den Fall an die britischen Behörden weitergeleitet zu haben.

Wichtige Fakten

• Der Vorfall begann am 29. Oktober auf der internationalen Plattform Polymarket.com; der Handel wurde in den Modus „nur Stornierung“ versetzt, bevor alle Dienste wiederhergestellt wurden.

• Cointribune berichtete, dass mehr als 700 Konten mit einem Schaden von mindestens 2,6 Millionen US-Dollar betroffen waren. CoinCentral verwies auf eine Erfassung durch DeFi Llama, die Verluste von etwa 2,7 Millionen US-Dollar ausweist – die Medien nennen keine einheitliche Gesamtsumme, und Polymarket hat keine endgültige Zahl veröffentlicht.

• Eine von Cointribune zitierte On-Chain-Analyse ergab, dass 28,6 Millionen POL-Token im Wert von etwa 2,57 Millionen US-Dollar auf mehrere Wallets verteilt wurden.

• Die Polygon-Blockchain und die zentralen Smart Contracts von Polymarket wurden nicht kompromittiert. Der Angriff erfolgte über ein Überwachungsskript des britischen Unternehmens DebugBear, das einen „andauernden Sicherheitsvorfall“ eingeräumt hat.

• Cointribune berichtete von einem früheren Sicherheitsvorfall im Juni, bei dem ein anderer Drittanbieter kompromittiert und etwa 3 Millionen US-Dollar von weniger als fünfzehn Konten gestohlen wurden. CoinCentral bezifferte die Verluste im Juni auf mehr als 2,9 Millionen US-Dollar.

Ein Tracking-Skript, keine beschädigte Blockchain

Laut Cointribune weisen erste On-Chain-Analysen auf DebugBear hin, ein britisches Unternehmen, dessen Real-User-Monitoring-Dienst ein in die Seiten seiner Kunden eingebettetes Skript nutzt, um Ladezeiten zu messen. Nachdem diese Infrastruktur kompromittiert worden war, wurde das Skript Berichten zufolge ersetzt oder so verändert, dass es schädlichen Code enthielt. Dieser prüfte, ob ein Besucher bei Polymarket angemeldet war, und nutzte anschließend die aktive Sitzung, um Positionen zu verkaufen und Vermögenswerte zu übertragen. DebugBear hat seine Kunden aufgefordert, den eingebetteten Code zu entfernen.

Diese Unterscheidung ist wichtig, um den Vorfall einzuordnen. Die Angreifer fälschten keine On-Chain-Transaktion und knackten auch nicht die Vertragslogik des Prognosemarkts. Sie kaperten vielmehr die Webebene, die Vorgänge vorbereitet und autorisiert. Forscher von Hudson Rock identifizierten im schädlichen Code eine Adresse, an die die Gelder überwiesen wurden.

Zwei Sicherheitsvorfälle, eine Schwachstelle

CoinCentral berichtete, Polymarket habe mitgeteilt, dass einer seiner Drittanbieter kompromittiert worden sei und die Predictions Trading API einen „schweren Ausfall“ erlitten habe. In der Mitteilung wurde der Anbieter jedoch nicht genannt. CoinCentral merkte außerdem an, dass die Statusseite der Plattform am Donnerstag um 19:05 Uhr UTC alle Systeme als betriebsbereit auswies, und nannte Shayne Coplan als Gründer und CEO.

Beide Vorfälle folgten demselben Muster: Der Zugang erfolgte über externe Anbieter, nicht über Polymarkets eigene Systeme. Cointribune beziffert die kombinierten Verluste aus beiden Vorfällen innerhalb weniger Monate auf fast 5,6 Millionen US-Dollar.

Warum das wichtig ist

Eine Erstattung begrenzt den unmittelbaren finanziellen Schaden für Händler, versetzt eine während eines volatilen Marktes geschlossene Position jedoch nicht wieder in denselben Zustand. Die von dem Sicherheitsvorfall betroffenen Nutzer verwahren ihre Gelder auf einer Plattform ohne Verwahrung durch Dritte. Dennoch reichten eine gültige Sitzung und ein einziges kompromittiertes Skript aus, um ihr Geld zu bewegen – eine Sicherheitslücke, die sich allein durch den Besitz der Wallet nicht schließen lässt. Der erneute Vorfall lenkt die Aufmerksamkeit weg von einem einzelnen fehlerhaften Anbieter und hin zu der Frage, wie Polymarket kontrolliert, welche Skripte auf seiner Website ausgeführt werden.

Was zu beobachten ist

Polymarket hat weder eine endgültige Verlustsumme noch die Bedingungen für Erstattungen bekannt gegeben. Cointribune berichtete zudem, dass die genaue Zahl der Opfer noch ermittelt werden müsse. Wie die Plattform Entschädigungen berechnet – ob nur umgeleitete Gelder oder auch der Wert ohne Einwilligung verkaufter Positionen berücksichtigt wird – ist das nächste konkrete Detail, auf das es zu achten gilt.

Ursprünglich veröffentlicht auf CoinPulseHQ: https://coinpulsehq.com/polymarket-hack-700-accounts-2-6-million/