Polymarket führt 48-stündige Auszahlungssperre nach Skript-Angriff auf Anbieter ein, der zu Verlusten von 2,7 Mio. Dollar führte
- Polymarket hat die Allowlisting von Auszahlungsadressen eingeführt, mit E-Mail-Verifizierung und einer 48-Stunden-Sperre.
- Die Funktion wurde nach einem Vorfall hinzugefügt, bei dem ein kompromittiertes DebugBear-Skript am 29. Oktober etwa 2,7 Millionen US-Dollar von 737 Konten abgezogen hatte.
- Die Funktion schützt Händler, indem sie Auszahlungen an nicht genehmigte Wallets blockiert, selbst innerhalb einer übernommenen Sitzung.
Polymarket hat eine neue Einstellung eingeführt, die es Händlern nur erlaubt, Auszahlungen an vorab genehmigte Wallets zu senden.
Die Funktion kommt etwa zwei Wochen nach einem Vorfall, bei dem ein gehacktes Skript rund 2,7 Millionen US-Dollar von Benutzerkonten abgezogen hatte.
Was macht Polymarkets neue Auszahlungssperre?
Josh Stevens, Vice President of Engineering bei Polymarket, hat am Montag bekanntgegeben, dass Polymarket eine neue Funktion einführen wird, die es Händlern nur erlaubt, Auszahlungen an zuvor genehmigte Wallets zu senden. Die Ankündigung erfolgte in einem Post auf X vom Konto @devjoshstevens.
Das Hinzufügen einer neuen Wallet-Adresse zu einem Benutzerkonto dauert nur zwei Schritte. Der Händler muss die Anfrage per E-Mail bestätigen und dann 48 Stunden warten. Wenn der Händler die Anfrage nicht selbst gestartet hat, kann er sie direkt aus dieser E-Mail stornieren.
Mit dieser Maßnahme können Angreifer kein Geld mehr an eine neue Wallet senden, ohne die E-Mail-Überprüfung zu durchlaufen und die erforderlichen zwei Tage abzuwarten. Stevens sagte, das Ziel sei sicherzustellen, dass Angreifer kein Geld an eine Adresse senden können, die der Benutzer nicht kontrolliert.
Das Lockdown behebt jedoch nicht das Grundproblem des Vorfalls, den Polymarket vor nur zwei Wochen erlitten hat. Dieser Hack führte dazu, dass etwa 2,7 Millionen US-Dollar von Benutzerkonten abgeflossen sind. Dies geschah über ein Drittanbieter-Skript, das auf der Polymarket-Website lief und Zugriff auf Live-Sitzungen hatte.
Polymarket sah sich bereits früher in diesem Jahr im Juni mit einer ähnlichen Problematik konfrontiert, als es zu einem Angriff durch ein Vendor-Skript kam, bei dem etwa 3 Millionen US-Dollar von mindestens 11 Wallets abgeflossen sind, laut früheren Berichten von Cryptopolitan. Ein Sicherheitsvorfall im Dezember 2025 bei einem Authentifizierungsdienstleister betraf ebenfalls Benutzerkonten.
In jedem dieser Fälle war ein externer Anbieter beteiligt, doch nichts verbindet sie mit einem einzelnen Angreifer.
Wie ist der Polymarket-Hack passiert, und was kommt als Nächstes?
Am Oktober 29, Polymarket pausierte den Handel auf seiner internationalen Plattform, nachdem Angreifer ein Skript von DebugBear übernommen hatten – einem britischen Unternehmen, das die Website-Geschwindigkeit überwacht. Das Skript wurde gegen Code ausgetauscht, der darauf ausgelegt war, Wallets leerzuräumen.
Forscher von Hudson Rock haben festgestellt, dass der Code prüfte, ob ein Besucher bei Polymarket angemeldet war. Anschließend las er deren Guthaben und offenen Positionen aus. Schließlich nutzte er die hauseigenen Handelstools der Plattform, um Positionen zu verkaufen und das Geld auf eine Wallet des Angreifers zu überweisen.
Hudson Rock stellte zudem fest, dass der Code der Polymarket-Website die Entfernung des Skripts protokollierte. Polymarket gab an, den Vorfall den Strafverfolgungsbehörden gemeldet zu haben.
Bitquery berichtete, dass die Angreifer innerhalb einer Stunde (zwischen 17:10 und 18:10 UTC) 2,73 Millionen US-Dollar von 737 Konten abgezogen haben. Sie führten 985 Auszahlungen durch, wobei jede über eine gültige Genehmigung verfügte. Die Smart Contracts behandelten diese daher als echte Benutzeraktionen.
Ein Konto verlor mit einer einzigen Auszahlung 358.369 US-Dollar, während 276 Konten jeweils weniger als 100 US-Dollar verloren. Bei weiteren 33 Nutzern wurden Anteile an Prognosemärkten entwendet.
Polymarket erklärte, alle Nutzer vollständig zu entschädigen, jedoch werden Personen, die weniger als 10.000 US-Dollar verloren haben, vorrangig erstattet.
Binance und Polymarket haben ebenfalls Polygon-Validatoren gebeten einen Hard Fork zu genehmigen. Ein Hard Fork ist eine Änderung der Netzwerksoftware, die alle Validatoren übernehmen müssen. Dieser würde etwa 70,49 Millionen eingefrorene POL-Token im Wert von rund 6,5 Millionen US-Dollar aus den Wallets der Angreifer entfernen. Der Vorschlag wurde am 4. November veröffentlicht und am 5. November auf einem Polygon-Governance-Anruf vorgestellt. Eine Abstimmung und ein Datum stehen noch aus.
Auch andere Unternehmen schärfen ihre Sicherheitsmaßnahmen. Am Dienstag berichtete das Sicherheitsunternehmen CertiK nach dem $6,3-Milliarden-Hack bei Binance, dass Börsen harte Dollarlimits für die Höhe der in Hot-Wallets gehaltenen Mittel festlegen sollten, anstatt sich ausschließlich auf Cold-Storage-Verhältnisse zu verlassen.
Lesen Sie nicht nur Krypto-Nachrichten. Verstehen Sie sie. Abonnieren Sie unseren Newsletter. Es ist kostenlos.
Häufig gestellte Fragen
Was ist die neue Auszahlungs-Autorisierungsliste von Polymarket?
Sie ermöglicht es Tradern, Auszahlungen auf zuvor autorisierte Wallets zu beschränken. Das Hinzufügen einer neuen Adresse erfordert eine E-Mail-Bestätigung und eine 48-stündige Sperrfrist. Der Antrag kann über die E-Mail storniert werden, wenn der Benutzer ihn nicht selbst initiiert hat, so Josh Stevens auf X.
Wie viel kostete der Oktober 29-Vorfall bei Polymarket die Nutzer?
Rund 2,73 Millionen US-Dollar über 737 Konten hinweg, entnommen durch 985 autorisierte Auszahlungen in etwa einer Stunde, laut Bitquery-Daten. Die größte einzelne Auszahlung belief sich auf 358.369 US-Dollar.
Wie haben die Angreifer die Mittel gestohlen?
Ein kompromittiertes DebugBear-Monitoring-Skript hat sich in eingeloggte Polymarket-Sitzungen eingeschlichen und die hauseigenen Handelstools der Plattform genutzt, um Positionen zu verkaufen und Vermögenswerte an eine Wallet des Angreifers zu übertragen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast einem Jahrzehnt Erfahrung im Bloggen und in der Berichterstattung über Events im Krypto-Bereich. Bei Cryptopolitan arbeitet sie an der News-Seite und berichtet sowie analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Krypto-Regulierung, KI und Zukunftstechnologien. Sie hat ihr Studium an der Arcadia University mit einem Abschluss in Betriebswirtschaft abgeschlossen.
