Der Polymarket-Hack vom 29. Oktober 2026 hatte seinen Ursprung nicht in einem Smart Contract, sondern in einem eingebundenen JavaScript eines Drittanbieters. Die Prognosemarkt-Plattform setzte ihre internationale Börse Polymarket.com am Donnerstagabend für rund eine Stunde in einen Nur-Stornieren-Modus und meldete, einer ihrer Dienstleister sei kompromittiert worden. Nach Medienberichten handelt es sich um den britischen Performance-Monitoring-Dienst DebugBear. Sicherheitsforscher fanden in dessen ausgeliefertem Skript Code, der eingeloggte Polymarket-Sitzungen kaperte und Guthaben an eine Angreifer-Wallet weiterleitete.
Für Krypto-Nutzer ist der Fall eine Warnung, für Webentwickler ein Lehrstück: Ein harmlos wirkendes Analyse-Skript hat im Browser dieselben Rechte wie der eigene Code. Wir fassen zusammen, was gesichert ist, was nur aus Berichten stammt und was Betreiber daraus lernen können.
Key Takeaways
- Polymarket bestätigt, dass ein Drittanbieter kompromittiert wurde, nennt aber keinen Namen. CNBC und Reuters berichten unter Berufung auf eine informierte Person, dass es sich um DebugBear handelt.
- DebugBear selbst meldete einen laufenden Sicherheitsvorfall und forderte Kunden seines RUM-Produkts auf, den Einbettungscode von ihren Websites zu entfernen.
- Laut BleepingComputer und Hudson Rock nutzte das manipulierte Skript bestehende Handelssitzungen, um Positionen zu verkaufen oder Token an eine Angreifer-Adresse zu überweisen.
- Die Schadenssumme ist nicht offiziell bestätigt. Analysen von Blockchain-Daten nennen Werte zwischen rund 2,5 und 2,7 Millionen US-Dollar.
- Polymarket verspricht, alle Betroffenen vollständig zu entschädigen. Die US-Plattform war laut CNBC nicht betroffen.
Polymarket-Hack: der Ablauf am 29. Oktober
Die Statusseite von Polymarket dokumentiert den Vorfall mit Zeitstempeln (hier in MEZ umgerechnet). Um 19:05 Uhr setzte Polymarket die Börse in den „cancel-only mode“: Orders ließen sich nur noch stornieren, neue Trades wurden nicht ausgeführt, Relayer-Aktionen waren pausiert. Um 19:37 Uhr folgte die Erklärung: Man habe das Problem auf der internationalen Plattform identifiziert und behoben. „One of our third party providers was compromised“, schrieb das Unternehmen, der Fall sei an die zuständigen Strafverfolgungsbehörden übergeben worden, und alle Betroffenen würden entschädigt. Um 20:05 Uhr wurde der Vorfall als gelöst markiert, der Handel lief wieder.
Nach Angaben von BleepingComputer fanden die verdächtigen Transaktionen der Angreifer-Wallet bereits zwischen 18:50 und 18:56 Uhr statt, also kurz vor der Handelspause. Ein von Hudson Rock entdeckter Eintrag in den Produktions-Build-Metadaten von Polymarket trägt die Commit-Nachricht „remove debugbear rum script“ und ist auf 18:59 Uhr datiert. Polymarket hätte die Integration demnach entfernt, bevor die Plattform den Vorfall öffentlich machte.
Die Rolle von DebugBear
DebugBear ist ein Dienst zur Messung der Website-Performance. Sein Produkt für Real User Monitoring (RUM) arbeitet mit einem JavaScript-Schnipsel, den Betreiber in ihre Seiten einbinden, um Ladezeiten und Nutzererfahrung bei echten Besuchern zu messen. Am 29. Oktober um 19:00 Uhr MEZ schrieb DebugBear auf X: „We’re impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website.“ (Beitrag auf X). Am späten Abend folgte ein zweiter Beitrag: Man behandle den Vorfall mit höchster Priorität, habe spezialisierte Incident-Response-Unterstützung hinzugezogen und werde betroffene Kunden direkt kontaktieren.
Polymarket selbst hat DebugBear nicht als Ursache benannt. Diese Zuordnung stammt aus Berichten von CNBC und Reuters, die sich auf eine mit dem Vorgang vertraute Person berufen. Laut CNBC übergab Polymarket den Fall an britische Behörden, weil DebugBear dort ansässig ist. Die Website von DebugBear war am Freitagmorgen nicht erreichbar und zeigte eine Cloudflare-Fehlermeldung. Ob das mit der Eindämmung des Vorfalls zusammenhängt, ist offen.
Was das manipulierte Skript tat
Die Analyse von BleepingComputer beschreibt eine gezielt auf Polymarket zugeschnittene Schadsoftware. Laut Hudson Rock wurde sie über eine Skriptdatei auf der CDN-Domain von DebugBear ausgeliefert. Der Code prüfte zunächst, ob ein Besucher bei Polymarket eingeloggt war, und nutzte dann dessen bestehende Handelssitzung und die regulären Handelsfunktionen der Plattform. Er las Guthaben und Positionen aus, um den Wert eines Kontos zu bestimmen. Je nach Anmeldeart versuchte er, Positionen automatisch zu verkaufen oder die Positions-Token direkt an eine Angreifer-Adresse zu übertragen. Zusätzlich versuchte er, Krypto-Bestände in übertragbare Werte umzuwandeln.
Besonders heikel: Laut BleepingComputer kommunizierte das Skript zur Steuerung und zum Abfluss von Daten mit einer weiteren Subdomain von DebugBear. Die Infrastruktur des Dienstleisters diente also sowohl zur Verteilung als auch zur Steuerung. Das wirft Fragen auf, wie weit die Angreifer in die Systeme des Anbieters vorgedrungen waren. Eine Stellungnahme von DebugBear zur Ursache liegt bislang nicht vor.
Wie hoch ist der Schaden?
Polymarket hat weder die Zahl der betroffenen Nutzer noch die Höhe des Schadens veröffentlicht. Die vorliegenden Zahlen stammen aus Blockchain-Analysen und sind deshalb Schätzungen. BleepingComputer zufolge transferierte die von Hudson Rock identifizierte Wallet rund 28,6 Millionen POL im Wert von etwa 2,57 Millionen US-Dollar an drei weitere Adressen. The Block verweist auf Daten von Arkham, wonach die Adresse nach mehreren Tauschgeschäften von USDC.e in POL rund 2,65 Millionen US-Dollar hielt. CNBC zitiert die Analysefirmen Betting Intelligence und Polysights mit mindestens 2,7 Millionen US-Dollar aus 710 Wallets.
Zur Entschädigung teilte Polymarket laut CNBC auf Discord mit, dass Nutzer mit Verlusten unter 10.000 US-Dollar ihr Geld bis zum 30. Oktober zurückerhalten sollen. Wer mehr verloren hat, muss eine Freigabeerklärung unterzeichnen. Offiziell bestätigt Polymarket auf der Statusseite nur, dass alle Betroffenen „made whole“ werden.
Einordnung: Ein Lieferkettenangriff im Browser
Der Vorfall fällt in eine Phase hoher Aufmerksamkeit: Für die US-Zwischenwahlen am 3. November erwartet CNBC hohe Handelsvolumina auf beiden Polymarket-Börsen, und die Plattform steht ohnehin unter regulatorischer Beobachtung, wie die Klage in New York zeigt. Laut CNBC hatte Polymarket bereits im Juni gemeldet, ein Drittanbieter sei kompromittiert worden.
Technisch ist der Fall ein Lieferkettenangriff, wie er aus Paketregistern bekannt ist, etwa bei der jüngsten npm-Dependency-Confusion-Welle, nur eben im Browser. Ähnlich wie beim Bitget-Hack lag die Schwachstelle nicht in der Blockchain, sondern in der Infrastruktur rund um die Plattform. Aus unserer Sicht ergeben sich daraus einige Lehren für Betreiber von Web-Anwendungen, die Geld oder Wallets berühren:
- Drittanbieter-Skripte inventarisieren: Jedes eingebundene Skript läuft mit den vollen Rechten der Seite. Betreiber sollten wissen, welche externen Skripte wo geladen werden, auch über Tag-Manager.
- Sensible Bereiche trennen: Monitoring- und Analyse-Code muss nicht zwingend auf Seiten laufen, auf denen Nutzer handeln, bezahlen oder Transaktionen signieren.
- Integrität absichern: Subresource Integrity blockiert eine veränderte Datei, wenn deren Hash fest hinterlegt ist. Bei Skripten, die ein Anbieter laufend aktualisiert, ist das oft nicht praktikabel. Selbst gehostete, geprüfte Versionen sind dann eine Alternative.
- Content Security Policy nutzen: Eine strikte CSP mit eng gefassten Quellen für Skripte und Netzwerkverbindungen erschwert es, Daten an fremde Server zu senden, hilft aber wenig, wenn der kompromittierte Anbieter selbst auf der Erlaubnisliste steht.
Nutzer von Polymarket sollten ihre Konten und Positionen prüfen und auf offizielle Mitteilungen zur Entschädigung achten. Vorsicht ist bei Nachrichten geboten, die angebliche Rückerstattungen versprechen und zur Eingabe von Wallet-Daten auffordern. Solche Folge-Phishing-Wellen sind nach großen Vorfällen üblich.
Fazit
Der Polymarket-Hack zeigt, dass Sicherheit bei Krypto-Plattformen nicht beim Smart Contract endet. Ein Performance-Skript eines Dienstleisters reichte nach bisherigem Stand, um innerhalb weniger Minuten Millionenwerte abzuziehen. Polymarket reagierte schnell und verspricht Entschädigung. Offen sind die genaue Schadenshöhe, die Zahl der Betroffenen und vor allem, wie die Angreifer in die Infrastruktur von DebugBear gelangten. Bis dazu belastbare Angaben vorliegen, sollten alle RUM-Kunden des Anbieters dessen Rat folgen und den Code entfernen.
