Polymarket hat den Handel auf seiner internationalen Plattform wieder aufgenommen, nachdem es am 29. Oktober zu einem Sicherheitsvorfall bei einem externen Dienstleister gekommen war. Das Unternehmen erklärt, dass Trader, die durch den Vorfall Geld verloren haben, vollständig entschädigt werden. Die Blockchain-Analysefirma Bubblemaps schätzt, dass rund 2,7 Millionen US-Dollar von etwa 700 Nutzern gestohlen wurden, wobei Polymarket diese Zahl nicht bestätigt hat.

Forscher haben den Angriff mit bösartigem Code in Verbindung gebracht, der in einen Website-Performance-Monitoring-Dienst eingebettet war. Polymarket US, die föderal regulierte Plattform des Unternehmens für amerikanische Nutzer, war nicht betroffen.

Wie die Handelspause verlief

Polymarkets Reaktion begann mit einem Wechsel in den Cancel-only-Modus, der es Kunden ermöglichte, bestehende Order zurückzuziehen, während neue Trades nicht mehr verarbeitet wurden. Das Unternehmen pausierte zudem den Dienst, der Transaktionen im Namen der Nutzer einreicht, bevor es bekannt gab, dass einer seiner Drittanbieter kompromittiert worden war.

Der Handel blieb mehrere Stunden ausgesetzt, während das Unternehmen untersuchte. Ein späteres Update des Polymarket-Traders-Kontos auf X bestätigte, dass der Handel vollständig wieder online war.

Nach Angaben des Unternehmens hat der kompromittierte Anbieter seinen Sitz im Vereinigten Königreich. Polymarket erklärte, die eigene Website sei nicht kompromittiert worden, und die britischen Strafverfolgungsbehörden seien informiert worden. Der Vorfall zeigt, wie der Tagesbetrieb einer Plattform über einen Dienstleister gestört werden kann, selbst wenn die eigene Infrastruktur unangetastet bleibt.

Der Hack betraf Polymarket US nicht, die neuere Plattform, die als föderal regulierte Börse für Nutzer in den Vereinigten Staaten fungiert. Die führende internationale Plattform basiert auf Kryptowährungen und ist in den Vereinigten Staaten und mehreren anderen Ländern verboten.

Nachverfolgung der gestohlenen Gelder

Bubblemaps verfolgte die Gelder von Hunderten Einzahlungswallets zu einer Adresse, die sie dem Angreifer zuordnete. Ihrem Diagramm zufolge flossen über die Hauptroute 712 Einzahlungswallets und etwa 2,71 Millionen US-Dollar.

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

Dem Unternehmen zufolge wurden die gestohlenen Gelder in POL, den nativen Token von Polygon, umgewandelt und an mehrere Adressen überwiesen. Es verfolgte zudem Transfers zu Ethereum.

Funktionsweise des Angriffs

Forscher brachten verdächtigen Code mit einem Website-Performance-Monitoring-Dienst in Verbindung. Diese Tools helfen Unternehmen normalerweise dabei zu sehen, wie ihre Websites laden und funktionieren. Sicherheitsvorfälle, die über den Code eines Dienstleisters statt über die eigenen Systeme eines Unternehmens eindringen, werden in der Branche häufig als Supply-Chain-Angriffe bezeichnet, und eingebettete Drittanbieter-Skripte sind für Webplattformen seit langem ein bekannter Angriffsvektor. Nach Angaben der Forscher griff der bösartige Code auf die Handelssitzungen der Nutzer zu und löste Aktionen aus, die Vermögenswerte aus deren Konten bewegten. Die genaue Angriffsmethode wird noch untersucht.

Auf X gaben mehrere prominente Trader an, Geld verloren zu haben. Polymarket wollte gegenüber WIRED weder sagen, wie viele Trader betroffen waren, noch wie hoch der Verlust ausfiel.

Frühere Vorfälle und eine Finanzierungsrunde über 1 Milliarde US-Dollar

Dies ist nicht der erste Sicherheitsvorfall der Plattform. Im Juni 2026 führte ein weiterer Zwischenfall zu Verlusten von mehr als 2 Millionen US-Dollar für betroffene Trader. Nach Bubblemaps' Schätzung würde der jüngste Vorfall diese Summe übersteigen. Das Unternehmen sieht sich seit seinem Start im Jahr 2020 mit Kontroversen konfrontiert, darunter mutmaßliche Insiderhandel-Fälle, die zu Verhaftungen führten; die Beschuldigten in diesen Fällen haben sich für nicht schuldig erklärt. Die Plattform ermöglicht Nutzern, auf die Ergebnisse realer Ereignisse zu handeln.

Im August 2026 sammelte Polymarket 1 Milliarde US-Dollar in einer von 1789 Capital geführten Finanzierungsrunde ein, bei der Donald Trump Jr. Partner ist. Das Unternehmen wird inzwischen mit 21 Milliarden US-Dollar bewertet.

Entschädigung zugesagt, Details ausstehend

Polymarket hat eine vollständige Rückerstattung zugesagt, aber bislang keinen Zeitplan oder Anspruchsverfahren mitgeteilt. Die Nutzer warten auf Details dazu, welche Konten anspruchsberechtigt sind, wie Verluste berechnet werden und wann die Gelder zurückerstattet werden. Die offenen Fragen – die genaue Angriffsmethode, die endgültige Verlustsumme und die Mechanik der Entschädigung – liegen nun bei Polymarkets laufender Untersuchung, wobei auch die britischen Strafverfolgungsbehörden informiert wurden. Eine vollständige Analyse des Vorfalls wird seitens des Polymarket-Teams erwartet.

Quelle: Blockonomi