Der Polymarket Hack vom Donnerstag, 29. Oktober 2026, hat Nutzer der Prognoseplattform innerhalb weniger Minuten mehr als 2,5 Mio. US-Dollar gekostet. Die Schätzungen zum Gesamtschaden liegen zwischen rund 2,65 und 2,7 Mio. Dollar. Polymarket schaltete seine Börse in den Cancel-only-Modus und gab den Handel etwa eine Stunde später wieder frei. Laut The Block erklärte das Unternehmen, ein Drittanbieter sei kompromittiert worden.
- Laut Statusseite war die Börse spätestens um 14:05 Uhr US-Ostküstenzeit (ET) im Cancel-only-Modus, Relayer-Aktionen wurden pausiert.
- Arkham ordnete den mutmaßlichen Angreifer der Wallet 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 zu. Nach Swaps aus USDC.e lagen dort etwa 2,65 Mio. Dollar in POL.
- Betting Intelligence und Polysights sagten CNBC, aus 710 Wallets seien mindestens 2,7 Mio. Dollar abgezogen worden.
- Nach Angaben von Reuters hat Polymarket den Fall an britische Strafverfolgungsbehörden übergeben. Eine Quelle nannte DebugBear als kompromittierten Anbieter.
- Prediction News zufolge traf es nur die Offshore-Plattform, nicht die separate, von der CFTC regulierte US-Gesellschaft.
Polymarket Hack im Zeitverlauf: frühere Vorfälle und der Donnerstag
- Mai 2026: Durch einen kompromittierten privaten Schlüssel fließen rund 700.000 Dollar aus einer internen Top-up-Wallet von Polymarket ab.
- 25. Juni 2026: Polymarket meldet, ein kompromittierter Dienstleister habe ein bösartiges Skript in das Frontend eingeschleust. Decrypt berichtete, dabei seien etwa 3 Mio. Dollar von weniger als 15 Konten verloren gegangen.
- 29. Oktober, gegen 14:00 Uhr ET: DebugBear meldet auf X einen „laufenden Sicherheitsvorfall“.
- 29. Oktober, spätestens 14:05 Uhr ET: Die Polymarket-Börse läuft im Cancel-only-Modus, Relayer-Aktionen sind gestoppt.
- 29. Oktober, 14:33 Uhr ET: Polymarket teilt mit, ein Problem auf der internationalen Plattform Polymarket.com sei behoben und einer seiner Drittanbieter sei kompromittiert worden.
- 29. Oktober, gegen 15:00 Uhr ET: Der Handel läuft wieder. Polymarket kündigt an, betroffene Trader voll zu entschädigen.
Hintergrund: ein manipuliertes Skript eines Dienstleisters
Die Berichte deuten auf ein Skript eines externen Anbieters, das auf der Polymarket-Website geladen wurde. Nach Angaben von 0xngmi, dem Entwickler hinter DeFiLlama, hat der Angreifer ein Unternehmen für Web-Performance-Tracking kompromittiert, dessen Skripte auf Polymarket liefen. Damit war jeder Besucher der Seite dem Angriff ausgesetzt. Bitcoin.com News zitierte denselben Entwickler mit Verlusten von rund 2,7 Mio. Dollar.
Hudson Rock beschrieb den Ablauf genauer, wie RG.org berichtet. Demnach suchte ein von DebugBear geladenes Skript nach eingeloggten Sitzungen, versuchte Positionen zu verkaufen und Guthaben abzuziehen. Als Ausweichempfänger war dieselbe Angreifer-Wallet hinterlegt. Der eigene Code einer Seite kann bei so einem Aufbau sauber sein, während ein vertrautes Fremdskript den Schaden anrichtet. Den Dienstleister-Aspekt haben wir bereits in unserem früheren Bericht über einen Dienstleister-Angriff auf Polymarket beleuchtet.
On-Chain zeigten Arkham-Daten laut The Block mehrere Swaps von USDC.e in POL über Relay, bevor die Mittel auf weitere Adressen verschoben wurden. Ähnlich wie bei Cross-Site-Scripting-Lücken (XSS) kann ein bösartiges Skript im Browser mit jeder Sitzung handeln, die der Nutzer gerade offen hat.
Reaktionen von Polymarket, DebugBear und Tradern
Polymarket fasste sich kurz. Auf X hieß es: „Alle Betroffenen werden vollständig entschädigt.“ Eine eigene Schadenssumme oder die Zahl der Geschädigten hat das Unternehmen nicht veröffentlicht. NBC News berichtete, ein Sprecher habe sich weder zur Zahl von 2,65 Mio. Dollar noch zum genauen Angriffsweg geäußert.
Reuters meldete, in einem von AOL übernommenen Bericht, dass Polymarket den Vorfall an britische Strafverfolgungsbehörden weitergeleitet hat. Eine mit der Sache vertraute Quelle nannte DebugBear als kompromittierten Anbieter. Unabhängig davon sagten Betting Intelligence und Polysights gegenüber CNBC, dass aus 710 Wallets mindestens 2,7 Mio. Dollar abgezogen wurden.
Die Verluste verteilen sich ungleich. Ein bekannter Trader gab an, 800.000 Dollar verloren zu haben, so Prediction News. Das Portal wies darauf hin, dass der Polymarket Hack die Offshore-Plattform traf und nicht die CFTC-regulierte US-Einheit.
Marktumfeld am Tag des Angriffs
Der Gesamtmarkt lag am Donnerstag im Minus. Belege für einen Zusammenhang mit dem Polymarket Hack gibt es aber nicht. CoinGecko-Daten vom 29. Oktober 2026, 21:58 Uhr UTC:
| Coin | Kurs (USD) | 24 Std. |
|---|---|---|
| Bitcoin (BTC) | 78.977 $ | -2,85 % |
| Ethereum (ETH) | 2.273,14 $ | -3,79 % |
| BNB | 705,53 $ | -6,73 % |
| XRP | 1,25 $ | -5,80 % |
| Solana (SOL) | 97,43 $ | -5,07 % |
Der Crypto Fear & Greed Index stand am 29. Oktober 2026 bei 51 („Neutral“).
Worauf es jetzt ankommt
Erster Prüfstein ist die Auszahlung. Polymarket hat volle Entschädigung zugesagt, doch bisher nennen die Berichte weder einen Zeitplan noch das Verfahren zur Prüfung der Verluste. Offen ist auch, ob verkaufte Positionen wiederhergestellt oder bar ausgeglichen werden. Bis dahin verlassen sich Betroffene auf ein Versprechen, nicht auf einen abgeschlossenen Prozess.
Der zweite Prüfstein ist ein Bericht zur Ursache. Nach dem 25. Juni ist das mindestens der zweite gemeldete Vorfall mit einem Dienstleister-Skript bei Polymarket in diesem Jahr. Hinzu kommt der kompromittierte private Schlüssel im Mai. Dieses Muster wiegt so schwer wie die Schadenssumme. Fragen dürften sich darum drehen, wie viele Fremdskripte im Frontend von Polymarket laufen und wer sie ändern kann. Wer sich für die Gestaltung der Verwahrung interessiert, kann Ansätze in unserem Erklärstück zur MPC-Wallet-Technologie vergleichen.
Beobachten sollte man auch, wie es nach der Übergabe an britische Strafverfolgungsbehörden weitergeht, sowie mögliche Sperrungen oder Rückholungen von den Angreifer-Adressen. Für Nutzer webbasierter Handelsplattformen bleiben die Risiken konkret: kompromittierte Frontends, Ausfälle und die Möglichkeit, dass Gelder nicht zurückkommen. Wie sich Verluste steuerlich auswirken, ist je nach Land unterschiedlich geregelt, hier hilft eine qualifizierte Steuerberatung.
FAQ
Was hat den Polymarket Hack ausgelöst?
Laut Polymarket wurde ein Drittanbieter kompromittiert. Eine von Reuters zitierte Quelle nannte DebugBear. Hudson Rock zufolge suchte ein von DebugBear geladenes Skript nach eingeloggten Sitzungen und versuchte, Positionen zu verkaufen und Guthaben abzuziehen.
Entschädigt Polymarket die betroffenen Trader?
Polymarket sagt, alle Betroffenen würden vollständig entschädigt. Die bisherigen Berichte nennen weder einen Zeitplan noch ein Verfahren.
War Polymarket US betroffen?
Nein. Laut Prediction News traf der Angriff nur die Offshore-Plattform, nicht die CFTC-regulierte US-Gesellschaft.
Quellen
- Polymarket resumes trading after $2.65 million exploit, says third-party provider was compromised (The Block)
- Polymarket Resumes Trading, Vows to Reimburse Traders After Third-Party Provider Compromise – Unchained (unchainedcrypto.com)
- Polymarket Halts Trading Over Exploit That Stole Estimated $2.7M From Users (news.bitcoin.com)
- Polymarket Pauses Trading as Prediction Market Investigates Security Incident (tech.yahoo.com)
- Polymarket resumes trading after third-party security breach, to reimburse users – AOL (www.aol.com)
- Polymarket pauses trading amid reports of users' wallets drained (www.nbcnews.com)
- Polymarket Pauses Trading After Third-Party Provider Breach (rg.org)
- Polymarket halts trading after third-party breach causes $2.65 million in losses, Prediction News (predictionnews.com)
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungen sind sehr volatil, recherchieren Sie daher immer selbst, bevor Sie investieren.
