Polymarket-Hack: Rund 2,7 Mio. $ über kompromittiertes Fremdskript
Polymarket stoppte am 29. Oktober den Handel, nachdem Schadcode in einem Monitoring-Skript eines Drittanbieters rund 2,7 Mio. $ aus etwa 700 Konten abzog.
SECURITY & HACKSNEWS
Lukas Brenner
10/30/20261 min lesen
Der Prognosemarkt Polymarket hat am 29. Oktober den Handel auf seiner internationalen Plattform kurzzeitig ausgesetzt, nachdem Angreifer über ein kompromittiertes Skript eines Drittanbieters schätzungsweise 2,7 Mio. $ aus Nutzerkonten abgezogen hatten. Der Blockchain-Datendienst Bitquery beziffert die unautorisierten Abhebungen auf rund 2,73 Mio. $ aus 737 Konten, andere Analysten zählten etwa 700 betroffene Wallets.
Laut der Zeitleiste von Bitquery liefen die Abflüsse zwischen etwa 17:10 und 18:10 Uhr UTC. Gegen 18:05 Uhr UTC versetzte Polymarket seine internationale Börse in den Cancel-only-Modus und stoppte den Relayer-Betrieb. Kurz darauf meldete das Unternehmen, das Problem gefunden und behoben zu haben; gegen 19:05 Uhr UTC lief der Handel wieder. Bitquery registrierte danach noch eine weitere unautorisierte Abhebung.
Ein Dienstleister, kein Smart-Contract-Fehler
Der Schadcode gelangte nicht über die Smart Contracts, sondern über eingebundene Monitoring-Werkzeuge in das Frontend. Forscher führen die Injektion auf DebugBear zurück, einen Anbieter für Web-Performance-Monitoring, der selbst einen Sicherheitsvorfall meldete und Kunden riet, seine Real-User-Monitoring-Skripte zu entfernen. Hudson Rock identifizierte den Code; laut BleepingComputer kaperte er eingeloggte Sitzungen, prüfte Guthaben und versuchte, Positionen zu verkaufen oder Vermögen auf Wallets der Angreifer zu verschieben.
Polymarket selbst sprach lediglich von einem kompromittierten Drittanbieter. Betroffene Nutzer sollen vollständig entschädigt werden, der Fall wurde an Strafverfolgungsbehörden im Vereinigten Königreich übergeben. Einen Zeitplan für die Erstattung, eine endgültige Schadenssumme oder eine ausführliche Analyse gibt es bislang nicht. Die separate, in den USA regulierte Börse war Berichten zufolge nicht betroffen.
Nach Angaben von Bitquery wurden die erbeuteten Mittel in POL getauscht und auf neue Adressen verteilt, ein Teil floss über Bridges zu Ethereum. Analysefirmen ordneten rund 2,65 Mio. $ einer einzelnen mutmaßlichen Angreifer-Wallet zu.
Es ist bereits der zweite Drittanbieter-Vorfall der Plattform in diesem Jahr, nach einem Fall im Juni mit gemeldeten Nutzerverlusten von etwa 3 Mio. $. Der Angriff fällt zudem in eine Woche, die vom Rekorddiebstahl bei Binance geprägt ist, und zeigt, wie sehr Web-Frontends und externe Skripte zur Schwachstelle werden, selbst wenn der On-Chain-Code standhält.
Quelle: Bitquery, The Block, BleepingComputer, Altcoin Buzz, Gate News