Polymarket erstattet Trader nach Skript-Angriff

Ein Skript zur Leistungsüberwachung, das auf polymarket.com geladen wurde, ist am 29. Oktober gegen Schadcode ausgetauscht worden und nutzte offene Sitzungen von Tradern, um Positionen zu verkaufen und Gelder aus deren Wallets abzuziehen. Polymarket erklärt, den Tradern 3,9 Millionen Dollar zurückzuzahlen und den Fall an die Strafverfolgungsbehörden übergeben zu haben. Betroffen war die internationale Krypto-Börse von Polymarket. CNBC berichtet, dass die US-Plattform des Unternehmens nicht kompromittiert wurde.

Was Polymarket bestätigt hat

Polymarkets VP of Engineering, Josh Stevens, beschrieb den Angriff in einem Beitrag auf X, den das Hauptkonto @Polymarket am 30. Oktober erneut veröffentlicht hat: „Gestern wurde ein Leistungsskript eines Drittanbieters auf polymarket.com vom Angreifer seines Anbieters kompromittiert und gegen ein Skript ausgetauscht, das gezielt unsere Nutzer angreifen sollte. Für kurze Zeit nutzte es offene Sitzungen, um Positionen zu verkaufen und Gelder abzuziehen. Der Anbieter hat den Sicherheitsvorfall öffentlich bestätigt.“

Laut Polymarkets Statusseite befand sich die Börse am 29. Oktober von 14:05 bis 15:05 Uhr US-Ostküstenzeit (ET), in Deutschland 19:05 bis 20:05 Uhr im Cancel-only-Modus (nur Stornierungen offener Orders möglich), Relayer-Aktionen waren pausiert. Polymarket erklärt, das kompromittierte Skript „innerhalb einer Stunde“ entfernt, die Caches geleert und alle aktiven Login-Sitzungen zurückgesetzt zu haben.

In seinem Postmortem, veröffentlicht am Abend des 30. Oktober, schreibt Polymarket: „Insgesamt zahlen wir den Tradern 3,9 Mio. Dollar zurück: die 2,7 Mio. Dollar plus 1,2 Mio. Dollar für Verluste während der Handelspause.“ Das zusätzliche Geld deckt Positionen ab, die das Skript zwangsverkauft hat, sowie Positionen, die während der Handelspause an Wert verloren haben. Zuvor am selben Tag hatte das Konto @PolymarketTrade mitgeteilt, 689 von 726 betroffenen Wallets seien vollständig erstattet, die übrigen 37 würden nach jeweiliger Prüfung ausgezahlt. Das Postmortem nennt einen Anteil von 95 % der betroffenen Wallets. Laut Polymarket sind keine Anträge oder Tickets nötig; wer einen Betrag für falsch hält, wird auf ein im Postmortem verlinktes Formular verwiesen.

Was andere berichten

Stand 30. Oktober nennt Polymarket in seinen Beiträgen und im Postmortem den Dienstleister nicht. BleepingComputer und die Sicherheitsfirma Hudson Rock sagen, das Skript stamme von DebugBear, einem Unternehmen für die Leistungsüberwachung von Websites, und verweisen auf eine Code-Änderung bei Polymarket mit dem Titel „remove debugbear rum script“. CNBC berichtet unter Berufung auf eine mit der Sache vertraute Person von derselben Verbindung. DebugBear selbst schrieb am 29. Oktober, man sei „von einem laufenden Sicherheitsvorfall betroffen“, und bat Kunden seines Produkts Real User Monitoring (RUM), den Einbettungscode zu entfernen. In einem weiteren Beitrag am frühen Morgen des 31. Oktober (MEZ) schrieb DebugBear, seine DNS-Einträge seien über den Domain-Registrar kompromittiert worden und der Angriff habe sich, „basierend auf unserer ersten Untersuchung“, gegen „die Website eines bestimmten Kunden“ gerichtet.

Bubblemaps und BleepingComputer veröffentlichten am 29. Oktober Schätzungen, noch bevor Polymarket eigene Zahlen nannte. Bubblemaps zählte „700+ Nutzer ausgeplündert“, von CNBC zitierte Analysefirmen zählten 710 Wallets, und BleepingComputer verfolgte rund 28,6 Millionen POL-Token im Wert von etwa 2,57 Millionen Dollar zu Wallets mit Verbindung zum Angreifer. Polymarkets eigene Zahlen lauten 2,7 Millionen Dollar und 726 Wallets.

CNBC berichtet außerdem, Polymarket habe Nutzern auf Discord mitgeteilt, wer weniger als 10.000 Dollar verloren habe, bekomme sein Geld bis zum 30. Oktober zurück; bei höheren Verlusten sei eine unterzeichnete Verzichtserklärung nötig. Polymarkets Beitrag vom 30. Oktober und das Postmortem sagen, dass keine Anträge oder Tickets nötig sind, und erwähnen keine Verzichtserklärung.

Es ist nicht der erste Vorfall dieser Art. Im Juni 2026 erklärte Polymarket, ein Drittanbieter sei kompromittiert worden und habe bei einigen Nutzern ein Schadskript in das Frontend eingeschleust. CoinDesk bezifferte die Verluste damals unter Berufung auf das Blockchain-Analyseunternehmen AMLBot auf rund 3,1 Millionen Dollar aus 11 Wallets.

Unsere Einschätzung

Für alle, die Kryptowerte auf einer Glücksspiel- oder Wettseite halten, kommt es darauf an, wo der Angriff lief. Nach Angaben von Polymarket lief der Schadcode auf der eigenen Seite und nutzte Sitzungen, in denen man bereits angemeldet war. Es war keine gefälschte Kopie der Seite, und Polymarket beschreibt den Vorfall nicht als Schwachstelle in den eigenen Smart Contracts. Ein solcher Lieferkettenangriff ist für Nutzer schwer zu erkennen. Wer sich aus Sitzungen abmeldet, die er nicht nutzt, und nicht mehr Guthaben auf einer Plattform lässt als nötig, verringert das Risiko. Wer betroffen war, sollte sich bei Informationen zur Erstattung an die eigenen Kanäle von Polymarket halten: Nach solchen Vorfällen tauchen erfahrungsgemäß gefälschte „Erstattungs“-Nachrichten auf.

Über einen anderen Krypto-Vorfall haben wir bei Gamdoms Hot-Wallet-Einbruch berichtet, über Polymarkets US-Börse bei Betrug mit gestohlenen Karten und Abhebungen aus derselben Quelle. Zur Regulierung siehe Michigan und Polymarkets Sportkontrakte und Norwegens DNS-Sperrhinweise.

Verfügbarkeit: Die internationale Handelsplattform von Polymarket ist in mehreren Ländern gesperrt oder eingeschränkt; ob sie verfügbar ist, hängt vom Land ab, in dem man lebt.