Polymarket öffnete seine internationale Börse am 29. Oktober 2026 wieder für den Handel, nach einer kurzen Stilllegung, die durch ein kompromittiertes Monitoring-Skript eines Drittanbieters erzwungen worden war. Die Plattform stoppte eingehende Orders, setzte Relayer-Aktivitäten aus und versicherte den Kunden ihr Geld zurück. Die separate US-Plattform des Unternehmens war nicht betroffen.

Ein Monitoring-Skript, das in laufende Handelssitzungen eindrang

Das Cybersecurity-Unternehmen Hudson Rock deckte eine 15.187 Byte große schädliche Nutzlast auf, die in DebugBears Real User Monitoring (RUM)-Skript eingebettet war. RUM-Skripte sind ein gängiges Tool zur Website-Leistungsmessung: Betreiber betten sie ein, sodass sie im Browser jedes Besuchers laufen und messen, wie Seiten unter realen Bedingungen laden. Der Code konnte auf gespeicherte Kontoinformationen zugreifen, die von Händlern genutzten autorisierten Clients identifizieren und versuchen, Positionen zu verkaufen oder Token zu übertragen.

Polymarkets Website-Code zeigte anschließend, dass das DebugBear-Skript entfernt worden war, was darauf hindeutet, dass der Angriff den auf der Website laufenden Code ausnutzte und nicht eine Schwachstelle in den Smart Contracts der Plattform. Hudson Rock veröffentlichte seine Erkenntnisse in einem Bericht auf seinem InfoStealers-Blog.

Cancel-only-Modus, dann Handel wieder ab 15 Uhr ET

Polymarket versetzte die internationale Börse am 29. Oktober 2026 in den Cancel-only-Modus. Sein Status-Account teilte mit, dass ein Anbieter kompromittiert worden sei und der Fall an britische Strafverfolgungsbehörden übergeben worden sei.

Etwa um 15 Uhr ET desselben Tages wurde der Handel wieder aufgenommen. Das Unternehmen kündigte außerdem eine Erstattungsrichtlinie an. Laut CNBCs Bericht erwarten Kunden, die weniger als 10.000 $ verloren haben, ihre Erstattung bis zum 30. Oktober 2026. Kunden mit höheren Verlusten müssen zunächst eine Verzichtserklärung unterzeichnen. Obwohl Polymarket seine Erstattungspläne kommuniziert hat, ist nicht bestätigt, dass bereits Erstattungen ausgezahlt wurden.

DebugBear forderte Kunden auf, seinen Code zu entfernen

Auch DebugBear räumte das Sicherheitsproblem ein. Am 29. Oktober 2026 forderte das Unternehmen Kunden auf, seinen Monitoring-Code zu entfernen, während spezialisierte Ermittler untersuchten.

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

Die Warnung hob ein breiteres Problem hervor: Skripte von Drittanbietern können innerhalb legitimer Websites laufen und bei einer Kompromittierung Zugriff auf aktive Browser-Sitzungen der Nutzer erhalten. Da der Hinweis jede Website betraf, die das RUM-Embed einsetzt, verdeutlichte er zudem, wie ein einzelnes kompromittiertes Anbieter-Skript viele völlig verschiedene Websites gleichzeitig gefährden kann.

Erste Verlustschätzungen gegenüber bestätigten Verlusten

Das finanzielle Ausmaß ist derzeit unklar. Betting Intelligence und Polysights verfolgten am 29. Oktober 2026 Abhebungen von mindestens 2,7 Millionen $ über 710 Wallets, wie CNBC berichtete. Hudson Rock identifizierte derweil etwa 2,19 Millionen $ an einer Fallback-Empfängeradresse, doch dieser Saldo lässt keine Aussage darüber zu, wie viel gestohlen wurde. Polymarket hat die Gesamtverluste noch nicht bestätigt.

Zwei frühere Ausfälle von Drittanbietern, keine gemeinsame Ursache

Dies war nicht Polymarkets erstes sicherheitsrelevantes Problem mit einem Anbieter. Im Juni 2026 berichteten Halborn und TechCrunch über einen Angriff mit einem bösartigen Skript, bei dem angeblich rund 3 Millionen $ von mindestens 11 Wallets abgeflossen sind. Polymarket versprach damals ebenfalls Erstattungen.

Zuvor hatte im Dezember 2025 eine separate Sicherheitsverletzung bei einem Authentifizierungsanbieter die Konten von Nutzern betroffen. Sowohl Cryptopolitan als auch CertiK dokumentierten den Vorfall.

Alle drei Fälle betrafen externe Anbieter. Es gibt jedoch keine Hinweise darauf, dass sie auf denselben Angreifer oder dieselbe Ursache zurückgehen.

Was die wiederholte Anbieter-Abhängigkeit für den Sektor bedeutet

Die wiederholten Vorfälle fallen in eine Zeit, in der Prognosemärkte mehr Handelsaktivität anziehen. Ein auf Artemis basierender Bericht verzeichnete im September 2026 ein Handelsvolumen von 76,46 Milliarden $ über alle erfassten Märkte, wovon 13,12 Milliarden $ auf Polymarket entfielen. Diese Zahlen stellen Handelsaktivität dar, nicht gehaltene Vermögenswerte.

Dieses Wachstum rückt Sicherheitsbedenken schärfer in den Fokus. CertiK warnt, dass Plattformen, die klassische Web-Dienste mit Blockchain-Technologie kombinieren, weiterhin zentralisierte Schwachstellen aufweisen können. Solche Risiken könnten auch institutionelle Anleger abschrecken. Laut Jefferies zeigen Hedgefonds Interesse, bleiben aber vorsichtig; Liquiditäts-, Compliance- und Reputationsbedenken halten sie weiterhin zurück.

Derweil hebt KPMG die unterschiedlichen Verantwortlichkeiten von Anbietern, Brokern, Börsen und Clearingstellen hervor. In den USA regulierte Börsen müssen Anforderungen an Überwachung, Systemschutz und Teilnehmerabsicherung erfüllen. Diese Regeln gelten jedoch nicht automatisch für Polymarket International.

Für Polymarket ist die Wiederherstellung des Handels nur ein Teil der Herausforderung. Die größere Prüfung besteht darin, Risiken durch externe Anbieter zu beherrschen und das Vertrauen der Nutzer zurückzugewinnen. Naheliegende Indikatoren sind, ob Erstattungen unter 10.000 $ bis zum angekündigten Termin am 30. Oktober eintreffen, wie das Verfahren mit Verzichtserklärungen für größere Ansprüche verläuft, ob das Unternehmen eine Gesamtverlustsumme bestätigt und was die Übergabe an die britische Strafverfolgung und die laufenden Untersuchungen ergeben.