Polymarket stoppt Handel nach Angriff über einen Drittanbieter

Bei Polymarket haben Angreifer am Donnerstagabend über einen kompromittierten Dienstleister Guthaben von Nutzern abgezogen. Die Prognosebörse setzte den Handel für eine Stunde aus und will Betroffene entschädigen, eine Schadenssumme nennt sie nicht. Die Analysefirma Bubblemaps zählt mehr als 700 geleerte Konten und rund 2,7 Millionen Dollar Beute, es ist der zweite solche Vorfall binnen vier Monaten.

Betroffen war die internationale Seite polymarket.com, nicht das getrennte US-Angebot.

Polymarket schaltet auf “nur stornieren”

Um 19:05 Uhr meldete Polymarket auf seiner Statusseite einen Vorfall: “The exchange is currently in cancel-only mode and relayer actions paused.” Offene Aufträge ließen sich damit nur noch zurückziehen, und der Relayer, über den die Plattform die Transaktionen ihrer Nutzer einreicht, stand still.

Eine gute halbe Stunde später, um 19:37 Uhr, war die Ursache nach Angaben des Unternehmens gefunden. Einer seiner externen Dienstleister sei kompromittiert worden, der Fall liege bei den Strafverfolgungsbehörden, betroffene Nutzer würden entschädigt. Um 20:05 Uhr stand der Vorfall als gelöst, der Handel lief wieder.

Wenige Stunden später begann der Angriff auf Binance, der den Abend dann beherrschte.

Hudson Rock findet Schadcode in einem Messskript

Welcher Dienstleister es war, sagt Polymarket nicht. Das Sicherheitsunternehmen Hudson Rock hat ein Skript des Dienstes DebugBear ausgewertet, das Polymarket zur Messung der Ladezeiten eingebunden hatte. Es suchte im Browser angemeldeter Nutzer nach deren Handelszugang und versuchte je nach Kontotyp, Positionen an eine fremde Adresse zu übertragen oder sie zu verkaufen und den Erlös abzuziehen, mit immer niedrigeren Preisen.

Hudson Rock schränkt selbst ein, das Skript nur gelesen und nicht ausgeführt zu haben; wie es auf die Seite kam, ist offen. Private Schlüssel oder Seed-Phrasen schickte es nach dem Bericht nicht weiter, es nutzte die bestehende Anmeldung.

Ähnlich lag der Fall bei der Browser-Erweiterung von Fearless Wallet: Der Schaden steckte in Code, dem die Nutzer vertrauten, ohne ihn prüfen zu können.

Die Beute wandert in POL

Bubblemaps nennt in seinem Bericht auf X eine Hauptadresse des Angreifers, von der aus die Beute in POL getauscht wurde, den Token des Polygon-Netzes, auf dem Polymarket läuft. Von dort gingen rund 1,4 Millionen Dollar an eine einzige Adresse, kleinere Beträge an vier weitere, ein Teil über eine Bridge nach Ethereum. BTC-ECHO kommt nach Daten von Arkham auf rund 2,65 Millionen Dollar in POL.

Schon im Juni lief ein Angriff über fremden Code

Der Vorfall gleicht dem vom 25. Juni, als nach einer Auswertung von Source Defense ein Marketing-Tag eine externe Bibliothek nachlud, die durch einen eigens auf Polymarket zugeschnittenen Drainer ersetzt worden war. Er sprach gezielt Wallets mit mehr als 100.000 Dollar an, rund drei Millionen Dollar flossen ab, und Polymarket kündigte damals volle Erstattung an.

Wie und bis wann die Entschädigung diesmal läuft, hat Polymarket bis Freitagmittag nicht mitgeteilt.