Am Donnerstag, 29. Okt., kündigte die Vorhersage‑Marktplatz-Plattform Polymarket einen vorübergehenden Stillstand ihrer internationalen Handelsseite an, nachdem ein Exploit entdeckt wurde, der unbefugte Abhebungen ihres nativen POL‑Tokens ermöglichte. Die Verletzung, die auf einen kompromittierten Drittanbieter zurückzuführen ist, veranlasste die Börse, in den Cancel‑Only-Modus zu wechseln, Relayer‑Dienste zu pausieren und eine öffentliche Erklärung abzugeben, dass die Strafverfolgungsbehörden benachrichtigt wurden und alle betroffenen Nutzer vollständig entschädigt werden.

Technische Details des Exploits

Sicherheitsforscher bei Hudson Rock identifizierten ein Skript, das von DebugBear, einem Web‑Performance-Monitoring-Dienst, gehostet wurde, als Vektor für den Angriff. Das Skript suchte nach angemeldeten Polymarket‑Sitzungen, las die Bestände der Nutzer aus und versuchte, sie zu verkaufen oder an eine hartkodierte Fallback‑Adresse (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18) zu übertragen. Arkham‑Daten zeigen, dass die Adresse nach einer Reihe von USDC.e‑zu‑POL‑Swaps, die über den Relay‑Cross‑Chain‑Service ausgeführt wurden, ungefähr $2,65 Millionen POL angesammelt hat. Hudson Rock schätzte den Wert auf etwa $2,19 Millionen und wies darauf hin, dass die Zahl nicht verifiziert ist, während Analysten, die von Bitcoin.com und Unchained zitiert wurden, den Verlust auf rund $2,7 Millionen bezifferten.

Der bösartige Code wurde über den kompromittierten Anbieter in die Produktionsseite von Polymarket eingebettet. Nach seiner Entfernung registrierte der Code die Löschung des Skripts, jedoch konnten die Ermittler noch nicht bestimmen, wie die ursprüngliche Kompromittierung erfolgte oder wie viele Konten betroffen waren.

Reaktion und Behebung von Polymarket

Die Statusseite von Polymarket zeigte an, dass die Börse um 14:05 ET in den Cancel‑Only‑Modus wechselte, wodurch neue Aufträge verhindert, aber das Stornieren bestehender Aufträge erlaubt wurde. Relayer‑Aktionen, die signierte Transaktionen im Namen der Nutzer einreichen, wurden ebenfalls gestoppt. Um 14:33 ET veröffentlichte die Plattform, dass sie „ein Problem identifiziert und behoben hat, das unsere internationale Plattform betraf“ und dass ein Drittanbieter kompromittiert worden sei.

Der Handel wurde gegen 15:00 ET wieder aufgenommen, wobei die Statusseite den Vorfall um 15:05 ET als gelöst markierte. Polymarket wiederholte auf X, dass es alle Händler, die Verluste erlitten haben, vollständig entschädigen werde. Das Unternehmen rotierte außerdem den kompromittierten internen Schlüssel, widerrief Produktionsberechtigungen und kündigte Pläne an, private Schlüssel in ein sichereres Key‑Management‑System zu migrieren.

Kontext und regulatorischer Rahmen

Der Vorfall im Oktober folgt auf zwei frühere Sicherheitsereignisse bei Polymarket in diesem Jahr: einen privaten Schlüsselkompromittierung im Mai, die etwa $700 000 abgezogen hat, und einen Front‑End‑Exploit im Juni, der rund $3 Millionen von weniger als 15 Konten stahl. In jedem Fall stammten die Verletzungen von externen Zugriffspunkten und nicht von Schwachstellen im Smart‑Contract-Code von Polymarket.

Separat berichtete Unchained, dass die US‑Commodity‑Futures‑Trading‑Commission untersucht, ob Polymarket US‑Nutzer von seinem Offshore‑Markt ferngehalten hat, um die Einhaltung einer 2022‑Abmachung sicherzustellen. Obwohl die Untersuchung nicht mit dem Exploit im Oktober zusammenhängt, unterstreicht sie die verstärkte regulatorische Überwachung von Vorhersage‑Marktplätzen.

Was als Nächstes zu beobachten ist

Beobachter werden den Rückerstattungsprozess von Polymarket verfolgen, um sicherzustellen, dass alle betroffenen Nutzer vollständig entschädigt werden. Weitere Untersuchungen werden voraussichtlich den Drittanbieter und die Sicherheitspraktiken von DebugBear sowie weitere Offenlegungen darüber betreffen, wie das bösartige Skript eingebettet wurde. Schließlich könnten Regulierungsbehörden prüfen, ob wiederholte Lieferkettenangriffe ein wesentlicher Risikofaktor sind, der eine strengere Aufsicht von DeFi-Plattformen rechtfertigt.