Polymarket-Kompromittierung über einen Drittanbieter: Eingeschleustes Skript entwendet rund 2,7 Millionen US-Dollar aus Nutzer-Wallets
Polymarket, der Krypto-Prognosemarkt, hat den Handel vorübergehend eingestellt, nachdem ein über einen kompromittierten Drittanbieter eingeschleustes bösartiges Skript begonnen hatte, Gelder aus den Wallets der Nutzer abzuziehen. Laut On-Chain-Monitoring von Bubblemaps belaufen sich die Verluste auf rund 2,7 Millionen US-Dollar bei etwa 700 Nutzern, Zahlen, die das Unternehmen nicht bestätigt hat. Der Handel läuft inzwischen wieder, und Polymarket erklärt, die betroffenen Nutzer würden erstattet.
Ein vertrautes Frontend wurde feindlich
Nach Berichten, die sich auf Quellen des Wall Street Journal und Blockchain-Sicherheitsforscher berufen, wurde ein Skript eines Anbieters für Website-Performance-Monitoring so verändert, dass es Besucher mit einer aktiven, eingeloggten Handelssitzung gezielt ausfindig macht. Forscher von Hudson Rock erklärten, der Code sei darauf ausgelegt gewesen, Bestände zu liquidieren und den Erlös an eine im Skript hinterlegte, von Angreifern kontrollierte Adresse zu überweisen. Eine vom Journal zitierte offizielle Person benannte DebugBear, ein britisches Unternehmen für Website-Performance-Monitoring als den betroffenen Anbieter; das Unternehmen erklärte, von einem laufenden Sicherheitsvorfall betroffen zu sein, und forderte Kunden auf, den Einbettungscode zu entfernen. Diese Zuordnung bleibt eine berichtete Verdachtsannahme und kein bestätigter Befund, wenngleich Polymarket erklärte, die eigene Website sei nicht kompromittiert worden. Die Abflüsse selbst hat Bubblemaps nachgezeichnet. Den Analysten zufolge wurden rund 2,7 Millionen US-Dollar aus etwa 712 Einzahlungswallets abgezogen, bevor der Fluss gestoppt wurde. Die gestohlenen Gelder wurden in POL, den nativen Token von Polygon, umgetauscht und über eine Kette von Adressen verteilt. Polymarket hat die Monitoring-Zahlen nicht bestätigt, und dieselbe On-Chain-Arbeit ergab, dass eine viel geteilte Behauptung eines persönlichen Verlusts von 800.000 US-Dollar nicht haltbar war, weil sich das Abhebungsmuster dieser Wallet von dem der anderen Opfer unterschied.„Wir werden das wiedergutmachen und alle betroffenen Trader vollständig erstatten.“Dieses Versprechen fiel in eine Phase, in der die Börse den Vorfall in Etappen abarbeitete: zuerst ein Modus, in dem offene Orders storniert, aber keine neuen Trades platziert werden konnten, dann eine Aussetzung des Dienstes zur Transaktionsübermittlung und schließlich die vollständige Wiederherstellung des Handels. Polymarket hat die Angelegenheit an die Strafverfolgungsbehörden im Vereinigten Königreich übergeben, wo der Anbieter seinen Sitz hat, und erklärt, Polymarket US, die separat regulierte US-Plattform, sei nicht betroffen.
Bereits die zweite Kompromittierung über einen Drittanbieter in diesem Jahr
Für Polymarket ist es 2026 die zweite Kompromittierung, die von einem Lieferanten ausging und nicht von der eigenen Infrastruktur. Im Juni teilte das Unternehmen mit, ein Drittanbieter sei kompromittiert worden und habe ein bösartiges Skript in das Frontend eingeschleust, bei einem Teil der Nutzer. Gestohlenes PUSD, Polymarkets Abwicklungstoken, wurde von Polygon nach Ethereum gebridged und in rund 1.893 ETH umgetauscht, eine Beute von schätzungsweise 2,94 Millionen US-Dollar. Der damalige Abfluss traf eine weit kleinere Gruppe, etwa elf bis fünfzehn Konten, folgte aber derselben Logik: Code, der über einen vertrauenswürdigen Kanal kommt und innerhalb der Seiten einer Website ausgeführt wird, an der die Nutzer nicht zu zweifeln hatten. Ein Vorfall im Mai, bei dem rund 700.000 US-Dollar über einen kompromittierten privaten Schlüssel aus einer internen Auflade-Wallet abgeflossen waren, passt nicht in dieses Lieferantenmuster. Er deutet aber in dieselbe Richtung: Die Sicherheit der Nutzergelder auf einer Handelsplattform reicht weit über den eigenen Perimeter der Plattform hinaus.Warum Supply-Chain-Angriffe auf das Frontend so gut funktionieren
Eine legitime Domain mit jahrelanger Geschichte kann stundenlang feindlichen Code ausliefern, bevor irgendjemand es bemerkt, und keine Phishing-Warnung schlägt an, weil nichts an der Seite gefälscht ist. Das Schloss-Symbol, das Lesezeichen, die korrekte Schreibweise der Adresse sagen weiterhin: vertrau mir. Beide Polymarket-Vorfälle nutzten genau dieses Vertrauen als Angriffsfläche, und genau das unterscheidet diese Angriffsklasse von gewöhnlichem Phishing und macht sie im Moment schwerer zu erkennen.- Halten Sie nur kleine Guthaben in Browser-Wallets und behandeln Sie sie als Taschengeld, nicht als Ersparnisse.
- Bevorzugen Sie Hardware-Wallets oder Wallet-Schutztools, die Transaktionen simulieren und unerwartete Genehmigungen kennzeichnen, bevor sie signiert werden.
- Prüfen Sie bestehende Token-Genehmigungen regelmäßig und widerrufen Sie, was nicht mehr gebraucht wird.
- Wenn eine Plattform eine Frontend- oder Lieferanten-Kompromittierung meldet: Melden Sie sich ab, beenden Sie andere Sitzungen und behandeln Sie alles, was im Zeitfenster des Vorfalls signiert wurde, als nachprüfenswert.