Polymarket stoppt Handel nach Drittanbieter-Angriff auf Nutzerkonten
Polymarket hat den Handel am 29. Oktober ausgesetzt, nachdem ein kompromittiertes Drittanbieter-Skript genutzt wurde, um Guthaben von Nutzerkonten abzuziehen. Laut dem Zwischenbericht des Unternehmens vom 30. Oktober belaufen sich die Rückerstattungen insgesamt auf 3,9 Millionen US-Dollar, wobei bis zum Nachmittag dieses Tages 95 % der betroffenen Wallets vollständig erstattet worden sein sollen.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 6 angegebenen Quellen. So arbeiten wir
Der Vorfall und die Reaktion
Polymarket hat den Handel am 29. Oktober gestoppt, nachdem ein Drittanbieter kompromittiert worden war und Nutzer meldeten, dass Vermögenswerte unautorisiert von ihren Konten abgezogen wurden. Die Statusseite der Plattform zeigte einen größeren Ausfall der Trading-API, und die Börse befand sich im Modus "nur stornieren", was bedeutet, dass Händler bestehende Orders zurückziehen, aber keine neuen platzieren konnten. Auch Relayer-Aktionen, die signierte Transaktionen der Nutzer an die Blockchain übermitteln, wurden pausiert.
In einem Zwischenbericht vom 30. Oktober erklärte Polymarket, dass ein kompromittiertes Skript zur Leistungsüberwachung genutzt worden sei, um Positionen zu verkaufen und Gelder aus einigen aktiven Sitzungen zu verschieben. Zu den Gegenmaßnahmen gehörten das Entfernen des Skripts, das Leeren von Caches, das Zurücksetzen von Sitzungen sowie die vorübergehende Einstellung des Handels und der Relayer-Aktivität. Das Unternehmen teilte mit, den Fall an die zuständigen Strafverfolgungsbehörden übergeben zu haben.
Verluste und Rückerstattungen
Polymarket gab an, insgesamt 3,9 Millionen US-Dollar zurückzuerstatten: 2,7 Millionen US-Dollar im Zusammenhang mit dem Angriff und 1,2 Millionen US-Dollar für Verluste, die mit der Handelspause verbunden sind. Das Unternehmen berichtete, dass bis zum Nachmittag des 30. Oktober 95 % der betroffenen Wallets vollständig erstattet worden seien. Diese Zahl ist ein zeitgestempelter Unternehmensbericht und stellt weder eine aktuelle Abschlussquote dar noch bestätigt sie, dass alle strittigen Beträge geklärt sind.
Frühere Presseberichte von CCN bezifferten die Verluste auf rund 2,73 Millionen US-Dollar, die in etwa einer Stunde über 985 Abhebungen von 737 Konten abgezogen worden seien. Diese Angaben waren zum damaligen Zeitpunkt nicht unabhängig bestätigt. Eine solche Abfolge von so vielen Abhebungen in etwa einer Stunde deutet auf automatisiertes Abziehen statt auf manuelle Aktivität hin. Decrypt berichtete, dass ein damit verbundenes Wallet über den plattformübergreifenden Dienst Relay Swaps von gebridgtem USDC in POL, das native Token von Polygon, erhalten habe, und Arkham-Daten zeigten, dass dieses Wallet rund 2,65 Millionen US-Dollar in POL hielt.
Angriffsmechanismus und Zuordnung
Forscher von Hudson Rock erklärten, dass ein Skript, das von DebugBear, einem Dienst zur Überwachung der Webleistung, geladen wird, Code enthält, der nach der aktiven Anmeldesitzung eines Nutzers sucht und versucht, Positionen zu verkaufen und Vermögenswerte zu übertragen. Das Unternehmen gab an, dass dieselbe Wallet-Adresse im Skript als Ausweich-Empfänger fest codiert sei und dass der Produktionscode der Polymarket-Website die Entfernung des Skripts dokumentiere. Hudson Rock hat noch nicht festgestellt, wie die Kompromittierung begann oder wie viele Nutzer betroffen waren.
Vertrauen und Drittanbieter-Risiko
Der Vorfall verdeutlicht eine strukturelle Schwachstelle webbasierter Handelsplattformen: die Abhängigkeit von externen Zulieferern, die Code bereitstellen, der im Browser der Nutzer ausgeführt wird. Subresource Integrity, ein in der Dokumentation von Mozilla beschriebener Browser-Mechanismus, kann Dateien ablehnen, deren kryptografischer Hash nicht dem erwarteten Wert entspricht. Er beurteilt jedoch nicht, ob freigegebener Code sicher ist, weshalb Plattformen weiterhin Prüfprozesse und Beschränkungen dafür benötigen, worauf externe Skripte zugreifen dürfen.
Die Pause wirft zudem eine separate Frage auf. Nutzer mit Positionen in zeitkritischen Märkten könnten durch den Stopp betroffen gewesen sein, auch wenn ihre Wallets nie geleert wurden, und der Ausgleich dieser Verluste erfordert einen definierten Bewertungszeitpunkt und eine festgelegte Methode. Decrypt wies darauf hin, dass dies nicht der erste derartige Vorfall bei Polymarket in diesem Jahr ist. Im Mai leerte eine Kompromittierung eines privaten Schlüssels rund 700.000 US-Dollar aus einem internen Auffüll-Wallet, und einen Monat später ermöglichte ein kompromittierter Anbieter Hackern, schädlichen Frontend-Code einzuschleusen, der etwa 3 Millionen US-Dollar von weniger als 15 Konten stahl.
Warum es wichtig ist
Für Händler
Nutzer mit Guthaben auf Polymarket konnten während der Pause weder neue Orders platzieren noch Positionen schließen, und die Angabe von 95 % erstatteten Beträgen ist eine vom Unternehmen gemeldete Momentaufnahme und keine bestätigte Abschlussquote.
Für Investoren
Ein Erstattungsprogramm über 3,9 Millionen US-Dollar nach der Kompromittierung eines Drittanbieter-Skripts, nach einem früheren, auf einen Anbieter zurückgehenden Diebstahl in diesem Jahr, verdeutlicht wiederkehrende operative und Verwahrungsrisiken bei Plattformen für Prognosemärkte, die unabhängig von deren Marktdesign bestehen.
Für Entwickler
Überwachungs- und Analyseskripte, die in Handelsoberflächen geladen werden, bilden eine Angriffsfläche in der Lieferkette; sie sollten von Signatur- und Auszahlungsprozessen isoliert und bei jeder Aktualisierung mit Integritätsprüfungen abgesichert werden.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
