Eine Schwachstelle im Anmeldeprozess von Polymarket soll es Angreifern Ende Juli ermöglicht haben, mit gestohlenen Personendaten Zugriff auf fast 500 bestehende US-Konten zu erlangen – inklusive verknüpfter Zahlungsmethoden.
Die wichtigsten Punkte:
- Ein Registrierungsfehler soll es jedem mit den Personaldaten eines Traders erlaubt haben, direkt in dessen aktives Konto zu gelangen
- Verknüpfte Bankkonten und Debitkarten waren einsehbar, einige Nutzer berichten von Verlusten in Tausenderhöhe und ausbleibendem Support
- Der Vorfall folgt auf eine Fraud-Welle im Februar, bei der Kriminelle versucht haben, mindestens 10 Millionen Dollar über gestohlene Debitkarten zu bewegen
Polymarket-Bug legte Händlerkonten offen
Wer mit den persönlichen Daten eines bestehenden Traders ein neues Konto eröffnete – etwa mit einer gestohlenen Sozialversicherungsnummer – landete laut einer am Samstag veröffentlichten Zeitungsermittlung direkt im aktiven Profil des Betroffenen.
Für den Zugriff waren weder Nutzername noch Passwort noch ein kompromittiertes Telefon erforderlich. Auch die mit diesen Profilen verknüpften Bankkonten und Debitkarten waren damit erreichbar.
Eine mit dem Fall vertraute Person sprach zwar von einem insgesamt geringen Schadensvolumen, nannte aber keine Zahl. Eine Unternehmenssprecherin erklärte zudem, Polymarket werde die im Zusammenhang mit dem Vorfall verlorenen Gelder ersetzen. Nutzer schilderten jedoch ein anderes Bild: Sie berichteten von Verlusten in Höhe von mehreren Tausend Dollar und wochenlang unbeantworteten Support-Nachrichten.
Ein Trader sagte, er habe sich im Juli eingeloggt und festgestellt, dass seine Positionen verkauft worden seien und 5.783,51 Dollar an Erträgen auf eine Debitkarte überwiesen wurden, die ihm nicht gehörte. Das Unternehmen habe sein Konto mit 25 Dollar gutgeschrieben, keine Erklärung geliefert und das Konto später gesperrt, nachdem er zweimal Verifizierungsunterlagen eingereicht hatte.
Mehr dazu: Nvidia-Prognosen für 2030 zeigen eine Spanne von 727 bis 28.560 Dollar
Warnung von Checkout.com ging Coplan-Reaktion voraus
Dem Kontofehler war bereits im Februar eine breitere Betrugswelle vorausgegangen. Damals verknüpften Täter gestohlene Debitkarten mit Tausenden neuer US-Konten und versuchten, mindestens 10 Millionen Dollar zu bewegen. Der Zahlungsdienstleister Checkout.com lehnte zeitweise mehr als 80 Prozent der Einzahlungen wegen Betrugsverdachts ab – üblich sind in der Branche rund 1 Prozent. Erst im Mai normalisierten sich die Betrugsquoten wieder, nachdem das Unternehmen die Zahl der Debitkarten pro Konto begrenzt und den Betrugsbekämpfer Riskified hinzugezogen hatte.
Compliance-Mitarbeiter spielten das Problem CEO Shayne Coplan zu. Dieser habe sie aufgefordert, das Wachstum weiter voranzutreiben und notfalls eine Strafe zu zahlen, falls die Aufsichtsbehörden jemals davon erfahren sollten, erinnerten sich aktuelle und ehemalige Mitarbeiter. Dem Bericht zufolge fiel die Reaktion intern auf erhebliche Verwunderung.
Sicherheitsbilanz von Polymarket gerät unter Druck
Analysten haben kritisiert , ob das Wachstum bei dem Unternehmen, das sich derzeit eine Finanzierung bei einer Bewertung von rund 21 Milliarden Dollar sichern will, schneller war als die Compliance. Zudem weisen sie darauf hin, dass sich die 10-Millionen-Dollar-Angabe auf versuchte Diebstähle und nicht auf bestätigte Verluste bezieht. Polymarket erklärt, die Systeme seien inzwischen deutlich verstärkt worden. Eine interne Prüfung durch die Kanzlei Sullivan & Cromwell habe zudem ergeben, dass das Unternehmen die Vorschriften eingehalten habe.
Die Schwachstelle im Juli markierte einen weiteren schwierigen Abschnitt für die Plattform, die bislang kein öffentliches Post-Mortem zu dem Anmeldefehler veröffentlicht hat. Im Juni bestätigte das Unternehmen, dass ein kompromittierter Dienstleister ein bösartiges Skript auf der Website eingeschleust hatte. Angreifer räumten daraufhin rund 3,1 Millionen Dollar aus 11 Wallets von Nutzern ab, bevor Rückerstattungen zugesagt wurden.
Weiter lesen: Google Gemini hackt in ersten bekannten autonomen Angriffen drei Unternehmen
