Beim Polymarket Hack am 29. Oktober 2026 wurden Hunderte Nutzerkonten leergeräumt, nach Schätzungen auf Basis von Blockchain-Daten mit Verlusten zwischen etwa 2,2 und 2,7 Mio. US-Dollar. Der Prognosemarkt macht einen kompromittierten Drittanbieter verantwortlich und setzte den Handel auf Polymarket.com kurzzeitig aus. Alle Betroffenen sollen laut Unternehmen vollständig entschädigt werden.
Warum das wichtig ist
Der Angriff folgt auf zwei frühere Sicherheitsvorfälle bei Polymarket, über die in diesem Jahr berichtet wurde. Und er ist bereits der zweite 2026, der auf einen kompromittierten externen Dienstleister zurückgeht, dessen Code auf der Website lief. Getroffen wurden Nutzer über das Web-Frontend, dem sie vertrauten. Für einzelne Trader ist so ein Risiko kaum zu erkennen.
Was über den Polymarket Hack bekannt ist
Blockchain-Analyst Conor Grogan schrieb auf X, dass 995 Konten mit insgesamt 2.654.211,42 US-Dollar geleert worden seien, wie U.Today berichtete. Die beiden größten Einzelverluste, die er nannte, lagen bei 341.000 und 307.000 US-Dollar.
So lief der Polymarket Hack ab
Eine On-Chain-Zeitleiste des Blockchain-Ermittlers StarPlatinum legt nahe, dass der Angreifer den Großteil der Mittel innerhalb von rund einer Stunde einsammelte. Allerdings stammt diese Zeitleiste von einem X-Account und wurde nicht unabhängig bestätigt, wie crypto.news anmerkte.
| Zeit (29. Oktober 2026) | Ereignis |
|---|---|
| 17:05 UTC | Leere Wallet des Angreifers beginnt, Mittel zu empfangen |
| 17:25 UTC | Wallet hält rund 412.000 US-Dollar |
| 17:50 UTC | Wallet hält rund 2,02 Mio. US-Dollar |
| 18:05 UTC | Wallet erreicht Höchststand bei knapp 2,68 Mio. US-Dollar |
| 14:05 Uhr ET | Statusseite zeigt Nur-Stornieren-Modus, Relayer-Aktionen pausiert |
| 14:33 Uhr ET | Polymarket meldet kompromittierten Drittanbieter |
| 15:05 Uhr ET | Vorfall als behoben markiert, Handel läuft seit etwa 15 Uhr ET wieder |
Die Wallet-Daten (in UTC) stammen aus der unbestätigten Social-Media-Zeitleiste. Die Angaben zur Statusseite und zur Wiedereröffnung (in US-Ostküstenzeit ET) gehen auf die Darstellung des Ausfalls bei Unchained zurück. In der eigenen Stellungnahme hieß es, der Handel sei „out of an abundance of caution“, also aus äußerster Vorsicht, gestoppt worden. Zudem werde „jeder, der betroffen ist, vollständig entschädigt“.
Ein kompromittiertes Monitoring-Skript
Den Dienstleister nannte Polymarket nicht. Eine Quelle sagte Reuters, es handle sich um DebugBear, eine Plattform zur Überwachung der Website-Performance, so der bei AOL veröffentlichte Reuters-Bericht. DebugBear erklärte auf X, von einem laufenden Sicherheitsvorfall betroffen zu sein, und forderte Kunden auf, seinen RUM-Code von ihren Websites zu entfernen. Laut Reuters hat Polymarket den Fall an britische Strafverfolgungsbehörden übergeben.
Die Forscher von Hudson Rock gingen weiter. Ihre Analyse fand speziell auf Polymarket zugeschnittenen Wallet-Drainer-Code in einem Drittanbieter-Skript. Außerdem entdeckten sie einen Hinweis im Produktions-Build mit dem Text „remove debugbear rum script“, Zeitstempel 17:59:20 UTC.
Wohin das Geld floss
Laut Grogan tauschte der Angreifer die gesamte Beute in Polygons Token POL, vermutlich um ein Einfrieren zu verhindern. Insgesamt kamen so rund 28,6 Mio. POL zusammen. Ein Trader behauptete auf X, 800.000 US-Dollar verloren zu haben, ein Freund von ihm 600.000 US-Dollar. Diese Angaben sind nicht überprüft.
Was beim Polymarket Hack noch unklar ist
Die größte offene Frage ist das Ausmaß des Schadens. Polymarket hat bislang keine Verlustzahl veröffentlicht. Bubblemaps beziffert ihn auf rund 2,7 Mio. US-Dollar bei etwa 700 Nutzern, berichtete GlobeTV. Das sind weniger Konten als die 995 bei Grogan. Hudson Rock erklärt, dass die Gesamtverluste nicht verifiziert sind.
Offen ist auch, wie und wann die Entschädigung ausgezahlt wird. Ebenso unklar: ob sich die getauschten POL nachverfolgen oder zurückholen lassen und wie die Systeme des Dienstleisters überhaupt kompromittiert wurden.
Marktreaktion und frühere Angriffe
Die großen Kryptowährungen lagen auf 24-Stunden-Sicht im Minus. Die verfügbaren Daten liefern aber keinen Hinweis darauf, dass diese Bewegungen mit dem Polymarket Hack zusammenhängen. Die Zahlen stammen von CoinGecko, Stand 29. Oktober 2026, 21:13 UTC.
| Asset | Kurs (USD) | 24h-Veränderung |
|---|---|---|
| Bitcoin (BTC) | 79.090 USD | -2,69 % |
| Ethereum (ETH) | 2.259,79 USD | -4,20 % |
| BNB | 709,53 USD | -6,04 % |
| XRP | 1,25 USD | -6,10 % |
| Solana (SOL) | 96,79 USD | -5,63 % |
Der Crypto Fear & Greed Index stand am 29. Oktober bei 51, also im neutralen Bereich.
Schon zweimal zuvor wurde Polymarket in diesem Jahr angegriffen. Im Juni 2026 verloren Nutzer bei einem ähnlichen Supply-Chain-Angriff rund 3 Mio. US-Dollar, wie Halborn erläuterte. Damals wurde über einen kompromittierten Dienstleister bösartiges JavaScript in die Website eingeschleust. Aus mindestens 11 Wallets wurde PUSD abgezogen, auf Ethereum gebridgt und in etwa 1.893 ETH getauscht.
Im Mai wurden rund 700.000 US-Dollar gestohlen, nachdem Hacker einen sechs Jahre alten privaten Schlüssel für interne Abläufe erbeutet hatten, erinnerte Rolling Out. Polymarket erklärte damals, Kundengelder und Smart Contracts seien nicht betroffen. Der Schlüssel wurde ausgetauscht, und das Unternehmen kündigte Pläne für ein sichereres Schlüsselmanagement an.
Was der Polymarket Hack für Anleger bedeutet
Die wichtigste Lehre aus diesem Supply-Chain-Angriff: Nutzer können nicht nur über die eigenen Systeme einer Plattform angreifbar sein, sondern auch über Code, den sie von externen Firmen lädt. Trader können diesen Code kaum selbst prüfen.
Worauf Nutzer jetzt achten sollten
- Das Entschädigungsversprechen ist eine Aussage des Unternehmens. Details zu Zeitplan und Verfahren gibt es noch nicht.
- Solche Vorfälle locken oft Betrüger mit gefälschten „Rückerstattungs“-Angeboten an. Kein seriöser Support fragt nach einer Seed Phrase oder einem privaten Schlüssel.
- Prognosemärkte bergen eigene Risiken, darunter den Totalverlust einer Position, Plattformausfälle und einen rechtlichen Status, der sich von Land zu Land unterscheidet.
Betroffene könnten außerdem vor steuerlichen oder rechtlichen Fragen zu gestohlenen Mitteln und späteren Entschädigungen stehen. Die Regeln unterscheiden sich je nach Land stark, daher ist der Rat einer qualifizierten Fachperson der sicherere Weg.
Fazit
Innerhalb von rund einer Stunde, nachdem die Statusseite den Nur-Stornieren-Modus angezeigt hatte, öffnete Polymarket den Handel wieder. Trotzdem ist es der zweite Vorfall in diesem Jahr, der auf einen kompromittierten Dienstleister zurückgeht. Das könnte den Umgang der Plattform mit externem Code stärker in den Fokus rücken. Als Nächstes zählen eine offizielle Schadenszahl, der Ablauf der Entschädigung und die Frage, ob Ermittler die 28,6 Mio. POL verfolgen können.
Quellen
- Polymarket Hit by Massive Hack (U.Today)
- Polymarket Resumes Trading, Vows to Reimburse Traders After Third-Party Provider Compromise – Unchained (unchainedcrypto.com)
- Polymarket Restores Trading After Major Security-Related Outage (www.cryptotimes.io)
- Polymarket resumes trading after breach at UK vendor drains about $2.7 million (globetv.app)
- Polymarket resumes trading after third-party security breach, to reimburse users – AOL (www.aol.com)
- Polymarket Breach Alert: Wallet-Draining Code Found in a Third-Party Script (www.infostealers.com)
- Polymarket restricts trading as users report drained wallets (crypto.news)
- Explained: The Polymarket Hack (June 2026) (www.halborn.com)
- Polymarket halts trading after $2.7 million exploit hits users (rollingout.com)
Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Kryptowährungen sind sehr volatil, recherchieren Sie daher immer selbst, bevor Sie investieren.
