Polymarket hat zugesagt, Nutzer nach einem Cyberzwischenfall am 29. Oktober 2026 mit insgesamt 3,9 Millionen US-Dollar zu entschädigen, bei dem Angreifer mithilfe eines kompromittierten Drittanbieter-Skripts Kryptowährungen aus Kundenzahlbörsen bewegten. Die Prognoseplattform bestätigte, dass Hacker ein von einem externen Anbieter bereitgestelltes Performance-Monitoring-Skript ausnutzten, um nicht autorisierte Transaktionen von betroffenen Konten durchzuführen.

In einem Sicherheitsupdate vom 30. Oktober erläuterte Polymarket ein Entschädigungspaket, das 2,7 Millionen US-Dollar für angriffsbedingte Verluste sowie zusätzliche 1,2 Millionen US-Dollar für Handelsunterbrechungen umfasst. Nach Angaben des Unternehmens hatten 95% der betroffenen Wallets bereits vollständige Erstattungen erhalten.

Kompromittiertes Anbieter-Skript nutzte aktive Sitzungen aus

Der Angriff ging von einem Performance-Monitoring-Skript eines externen Technologieanbieters aus. Angreifer ersetzten das legitime Skript durch bösartigen Code, der darauf ausgelegt war, aktive Handelssitzungen auf Polymarkets internationaler Plattform auszunutzen. Da die Nutzer in ihren Konten angemeldet blieben, ermöglichte der eingeschleuste Code nicht autorisierte Transaktionen: Die Angreifer verkauften Handelspositionen und übertrugen Mittel aus verbundenen Krypto-Wallets ohne Zustimmung der Kontoinhaber.

Reuters identifizierte den betroffenen Anbieter als DebugBear, ein Unternehmen für Website-Performance-Monitoring. Der Anbieter räumte einen Sicherheitsvorfall ein und empfahl seinen Kunden, den Monitoring-Code zu entfernen, während die Kompromittierung untersucht wurde. Die Einfallspasse passt in eine größere Klasse von Kompromittierungen in Web-Lieferketten: Drittanbieter-Skripte laufen innerhalb vertrauenswürdiger Seiten, und ähnliche Vektoren wurden bei den Skimming-Angriffen mit der Magecart-Bankkarten-Schadsoftware 2018 eingesetzt, von denen British Airways und Ticketmaster betroffen waren – wobei jene Kampagnen Zahlungs Kartendaten abgriffen, während dieser Vorfall angemeldete Handelssitzungen und verbundene Krypto-Wallets ins Visier nahm.

Polymarket setzte den Handel und die Transaktionsabwicklung vorübergehend aus, nachdem verdächtige Aktivitäten aufgefallen waren. Die Plattform entfernte anschließend das bösartige Skript, löschte Website-Caches und setzte aktive Anmeldesitzungen zurück, bevor der Normalbetrieb wiederhergestellt wurde.

Entschädigung geht über gestohlene Mittel hinaus

Das Erstattungsprogramm deckt mehr ab als die während des Angriffs direkt entwendeten Assets. Polymarket sagte außerdem zu, Händler zu entschädigen, die durch die vorübergehende Aussetzung des Handels finanzielle Verluste erlitten hatten.

Die zusätzlichen 1,2 Millionen US-Dollar betreffen qualifizierende Verluste im Zusammenhang mit von der Unterbrechung betroffenen Positionen, darunter Positionen, die an Wert verloren, als die Märkte während der Pause geschlossen waren, sowie bestimmte Transaktionen, die nach Wiederaufnahme des Handels abgeschlossen wurden. Berechtigte Nutzer erhalten die Entschädigung automatisch, ermittelt aus Blockchain-Aufzeichnungen und Handelsaktivitäten; Kunden, die ihre Erstattung für falsch halten, können eine zusätzliche Überprüfung anfordern. Da die Auszahlungen auf Basis von On-Chain- und Handelsdaten berechnet werden und nicht durch einen manuellen Anspruchsprozess, müssen Nutzer, die einen Betrag anfechten, auf diesen Überprüfungsweg setzen, um eine Korrektur zu erreichen.

Sicherheitsüberholung zielt auf Drittanbieter-Risiken

Der Vorfall verdeutlicht die Schwachstellen externer Software, die in Kryptowährungs-Handelsplattformen integriert ist. Selbst wenn die zentrale Blockchain-Infrastruktur weiterhin funktioniert, können kompromittierte Website-Komponenten Nutzer erheblichen finanziellen Verlusten aussetzen. In der Praxis umfasst die Angriffsfläche einer Plattform neben Smart Contracts und Schlüsselverwaltung auch vom Anbieter gelieferten Frontend-Code.

Polymarket erklärte, das Unternehmen verschärfe seine Sicherheitskontrollen durch strengere Skript-Verifizierung, zusätzliche Überwachung und verbesserte Beschränkungen für Drittanbieter-Code. Das Unternehmen hat den Vorfall an die Strafverfolgungsbehörden gemeldet und ermittelt weiter gegen die Angreifer.

Die Entschädigungszusage von 3,9 Millionen US-Dollar stellt eine bedeutende finanzielle Reaktion auf den Vorfall dar und unterstreicht die Bedeutung des Schutzes aktiver Handelssitzungen, während Prognosemärkte eine breitere Teilnahme anziehen. Die verbleibenden Punkte, die zu beobachten sind, sind die Erstattungen, die rund 5% der betroffenen Wallets, die noch nicht vollständig entschädigt wurden, noch zustehen, Anpassungen aus nutzerbeantragten Überprüfungen sowie die Ergebnisse der Meldung an die Strafverfolgungsbehörden und der laufenden Untersuchungen von Polymarket und DebugBear.

Quelle: CryptoMeter io