Die Prognosemarkt-Plattform Polymarket verlor 3,1 Millionen US‑Dollar, nachdem Angreifer einen Drittanbieter-Frontend-Dienst kompromittierten und Gelder aus 11 Nutzer-Wallets abzogen.
Die eigenen, geprüften Smart Contracts der Plattform blieben während des gesamten Vorfalls intakt.
Laut einem Bericht wurden die gestohlenen PUSD‑Token über eine Cross-Chain-Bridge von Polygon (POL) zu Ethereum (ETH) verschoben. Polymarket hat den kompromittierten Anbieter bislang nicht öffentlich benannt.
So funktionierte der Angriff
Frontend-Anbieter-Angriffe zielen auf die Weboberfläche ab, die Nutzer mit den zugrunde liegenden Verträgen einer Plattform verbindet. Die Smart Contracts selbst halten und verwalten die Gelder, aber die Nutzer interagieren über eine browserbasierte Schicht, die von Drittanbietern entwickelt und betrieben wird.
In diesem Fall scheinen Angreifer bösartigen Code in genau diese Interface-Schicht eingeschleust zu haben. Betroffene Nutzer, die während des Angriffsfensters mit dem Frontend von Polymarket interagierten, hatten ihre Wallet-Genehmigungen umgeleitet. Elf Wallets verloren Gelder, bevor der Kompromiss entdeckt wurde.
Die Tatsache, dass Smart Contracts Audits bestehen, bietet nur begrenzten Schutz, wenn der Angriffsvektor oberhalb der Contract-Ebene ansetzt.
Verschärfter regulatorischer Druck nach Sicherheitsvorfall
Polymarket steht bereits seit Längerem unter erhöhter Aufmerksamkeit der Aufsichtsbehörden, seit die Commodity Futures Trading Commission eine Untersuchung zum Zugang von US‑Nutzern zur Plattform eingeleitet hat. Die CFTC‑Ermittlung, die sich bis ins Jahr 2026 hinzieht, konzentriert sich darauf, ob die Prognosemärkte von Polymarket nicht registrierte Warentermingeschäfte darstellen, die US‑Bürgern zugänglich sind.
Die Plattform rückte während des US‑Wahlzyklus 2024 in den Mainstream-Fokus, als ihre Märkte in der Medienberichterstattung über die Gewinnchancen bei der Präsidentschaftswahl häufig zitiert wurden. Diese Sichtbarkeit brachte sowohl Nutzerwachstum als auch regulatorische Prüfung mit sich. Die Kombination aus einer laufenden CFTC‑Untersuchung und einem prominenten Sicherheitsvorfall verstärkt den Reputationsdruck auf die Betreiber der Plattform.
Die Sicherheit von Prognosemärkten ist in diesem Sektor ein wiederkehrendes Thema. Frontend-Angriffe sind besonders schwer zu verhindern, da sie auf die Kompromittierung von Drittanbietern abzielen und nicht auf das Kernprotokoll selbst. Mehrere DeFi‑Plattformen haben in den vergangenen zwei Jahren ähnliche Angriffe entlang der Lieferkette erlitten.
Außerdem lesen: Micron wird nach einer Rallye von 236 % zur nächsten KI-Besessenheit der Wall Street
Wie es weitergeht
Polymarket hat bislang nicht bestätigt, ob betroffene Nutzer entschädigt werden. Die Plattform hat zudem die Identität des kompromittierten Anbieters nicht offengelegt, was externe Sicherheitsanalysen der Angriffskette erschwert.
Die CFTC‑Untersuchung fügt eine zusätzliche Komplexitätsebene hinzu. Jede öffentliche Stellungnahme zu dem Hack könnte mit laufenden aufsichtsrechtlichen Verfahren kollidieren. Die Verlagerung der gestohlenen Gelder über eine Bridge auf Ethereum macht eine Nachverfolgung prinzipiell möglich, doch Rückholungen nach Frontend-Anbieter-Exploits sind selten, sofern nicht die Strafverfolgungsbehörden eingeschaltet werden.
Als Nächstes lesen: HIVE leiht sich gerade 115 Mio. $ zu null Prozent, um gegen Bitcoin-Mining zu wetten