Polymarket stoppt Handel nach Angriff auf Dienstleister

Polymarket hat den Handel auf seiner internationalen Börse am Donnerstag ausgesetzt, nachdem Angreifer den Code eines vertrauenswürdigen externen Dienstleisters in ein Werkzeug verwandelt hatten, das Geld direkt aus den Konten eingeloggter Nutzer abzog. Allein eine mutmaßliche Angreifer-Wallet erbeutete dabei mehr als 2,5 Millionen US-Dollar. Das Unternehmen hinter der weltgrößten Prognosemarkt-Börse, auf der Trader Kontrakte auf den Ausgang von Wahlen, Sportereignissen und Nachrichten kaufen und verkaufen, erklärte, man habe das Problem gefunden und behoben, den Fall den britischen Strafverfolgungsbehörden übergeben, und jeder, der Gelder verloren habe, werde vollständig entschädigt.

Die Störung traf Polymarket.com, den internationalen (nicht US-amerikanischen) Handelsplatz, den Trader außerhalb der Vereinigten Staaten nutzen, und versetzte die Börse für etwa eine Stunde in einen Cancel-only-Modus, in dem der automatische Relayer ausgesetzt war. Es ist das dritte Mal im Jahr 2026, dass Angreifer über einen kompromittierten Dienstleister oder Schlüssel an Polymarket-Nutzer gelangt sind, und das zweite Mal in diesem Jahr über Code, der innerhalb der Website selbst läuft.

Ein Monitoring-Skript wird zum Drainer

Die Schwachstelle lag nicht bei Polymarkets eigenen Servern oder der Blockchain, auf der das Geld liegt. Es war DebugBear, ein britisches Unternehmen, das Polymarket dafür bezahlte, zu überwachen, wie schnell seine Website lädt und läuft. Wie viele Performance-Monitore arbeitet DebugBear, indem es ein kleines Skript in die Seiten einbettet, die ein Besucher lädt, was diesem Skript einen vertrauenswürdigen Platz innerhalb der Website verschafft.

DebugBear bestätigte auf X, von einem „laufenden Sicherheitsvorfall betroffen" zu sein, und forderte seine Kunden auf, den Einbettungscode aus ihren Seiten zu entfernen. Polymarket erklärte, die Schwachstelle liege bei diesem externen Anbieter und nicht bei der eigenen Plattform, und übergab die Angelegenheit den Strafverfolgungsbehörden in Großbritannien, wo DebugBear seinen Sitz hat.

Forscher von Hudson Rock, einer Cybersicherheitsfirma, die den manipulierten Code untersuchte, erklärten, das von DebugBear ausgelieferte Skript sei so umgeschrieben worden, dass es etwas tat, was ein Monitoring-Tool niemals tun sollte: die aktive Handelssitzung eines eingeloggten Nutzers finden, sämtliche Positionen des Kontos liquidieren und den Erlös an eine Ziel-Wallet überweisen, die direkt als Backup-Adresse in das Skript geschrieben war. Das Unternehmen erklärte, man wisse noch nicht, was das Skript bei einem bestimmten Nutzer auslöste oder wie viele Personen betroffen waren.

Die Geldspur on-chain verfolgen

Da jede Überweisung in einem öffentlichen Ledger landet, sind die Folgen auf eine Weise sichtbar, wie es bei den meisten Sicherheitsverletzungen nicht der Fall ist. Eine Analyse einer mutmaßlichen Angreifer-Wallet zählte mehr als 2,5 Millionen US-Dollar, die über mehr als 900 einzelne Transaktionen abgezogen wurden: die Signatur eines Skripts, das immer wieder feuerte, während verschiedene Konten die verseuchte Seite luden.

Diese Wallet, 0x3f99...fc18, hält laut Daten von Arkham, einer Blockchain-Analyseplattform, inzwischen rund 2,65 Millionen US-Dollar in POL, dem nativen Token von Polygon, dem Netzwerk, auf dem Polymarket läuft. Die beiden Zahlen messen nicht dasselbe und sollten nicht addiert werden: Die eine ist der Bruttobetrag, der aus den Konten abgezogen wurde, die andere das, was die Wallet jetzt hält, nachdem die gestohlenen Gelder in POL umgewandelt wurden.

Die Trader, die es erwischt hat

Für die Menschen am anderen Ende sind die Zahlen nicht abstrakt. Ein Trader, der unter dem Namen CarOnPolymarket auftritt, schrieb auf X, von seinem Konto seien 800.000 US-Dollar abgezogen worden und ein Freund habe rund 600.000 US-Dollar verloren. Diese Angaben stammen vom Trader selbst und wurden nicht unabhängig bestätigt; zudem stehen sie neben den Wallet-Summen und sind nicht Teil davon.

Hudson Rocks Eingeständnis, die Opfer noch nicht zählen zu können, ist hier von Bedeutung: Der Drainer brauchte keine Zustimmung der Nutzer und keinen Klick auf einen schädlichen Link. Lief das Skript innerhalb einer Sitzung, die sie bereits geöffnet hatten und der sie vertrauten, konnte das Geld abfließen, während die Seite noch normal aussah.

Polymarkets Zusage und was sie offenließ

Polymarkets öffentliche Botschaft war beim Geld unmissverständlich: „Wir werden das in Ordnung bringen und entschädigen alle betroffenen Trader vollständig", und an anderer Stelle, dass „jeder, der betroffen ist, vollständig entschädigt wird". Der Handel solle noch am selben Tag gegen 15:00 Uhr ET zurückkehren, sobald das Problem eingedämmt sei.

Zur eigentlichen Schadenshöhe äußerte sich das Unternehmen vorsichtiger. Es beschrieb, man habe „ein Problem" gefunden und behoben, bestätigte mit eigenen Worten aber nicht, dass Nutzer Geld verloren hätten, während Trader und On-Chain-Analysen schilderten, wie sechsstellige Konten in Echtzeit leergeräumt wurden. Auch die Modalitäten der Erstattung legte das Unternehmen in dieser Mitteilung nicht offen. Kolportierte Bedingungen, die Polymarket selbst nicht veröffentlicht hat, ziehen die Trennlinie bei 10.000 USD: kleinere Verluste bis Freitag erstattet, größere Ansprüche nur gegen ein unterzeichnetes Verzichtsformular. Solange das Unternehmen es nicht bestätigt, gilt diese Schwelle am besten als unbestätigt.

Der dritte Abfluss 2026

Für Polymarket ist das nicht der erste Vorfall dieses Jahres. Um den Mai herum wurden rund 700.000 USD aus einem internen Aufladungs-Wallet abgezogen, nachdem ein Private Key kompromittiert worden war. Um den Juni herum nutzten Angreifer einen kompromittierten Drittanbieter aus, um schädlichen Front-End-Code einzuschleusen, und erbeuteten knapp 3 Millionen USD, wenn auch von weniger als 15 Konten, und auch damals sagte Polymarket volle Erstattungen zu.

Der rote Faden ist das Frontend. Polymarket ist non-custodial konzipiert: Die Gelder eines Nutzers liegen in einem Wallet, das der Nutzer selbst kontrolliert, und nicht auf einem Firmenkonto, was einen Serverangriff eigentlich weit weniger gefährlich machen soll. Doch die Seite, die zum Platzieren und Auflösen von Trades auf dieses Wallet zugreift, ist aus Code zusammengesetzt, den andere Unternehmen geschrieben haben, und 2026 war genau dieser Nachschub an fremdem Code immer wieder das Einfallstor.

Warum das für Trader hier zählt

Die Börse, die ausgefallen ist, ist die, auf die es hierzulande ankommt: Israelische Trader nutzen Polymarket.com, den internationalen Handelsplatz, nicht den separaten US-Ableger. Der Einbruch trifft die Plattform zudem zu einem unangenehmen Zeitpunkt für ihr Ansehen bei diesem Publikum. Er kommt nur wenige Tage, nachdem Polymarket eine Untersuchung wegen Insiderhandels zu verdächtigen Positionen rund um die israelische Wahl dieser Woche eingeleitet hat: Fragen zu den Ergebnissen von Netanjahu und Likud, die die Integrität der Plattform ohnehin schon zum lokalen Gesprächsthema gemacht hatten.

Eine Erstattung kann einen Trader schadlos stellen, doch sie schließt in keiner Weise die Tür, durch die die Angreifer gekommen sind. Die Lösung, zu der Polymarket und der Monitoring-Anbieter DebugBear griffen, war grob: das Überwachungsskript aus der Seite herauszureißen. Das stellt die Konten wieder her und stoppt diesen Drainer, lässt aber die größere Tatsache des Jahres 2026 bestehen: Der sicherste Teil von Polymarket ist das Wallet, das man selbst kontrolliert, und der gefährlichste ist der Code, den das Unternehmen andere daneben laden lässt.