Polymarket stoppte am Donnerstag, 29. Oktober 2026, für knapp eine Stunde den Handel auf seiner internationalen Plattform. Auslöser war nach Angaben des Unternehmens ein kompromittierter Drittanbieter, über dessen Dienst schädlicher Code ausgeliefert worden sein soll. Polymarket erklärte das Problem später für behoben und versprach, betroffene Trader vollständig zu entschädigen.
10
13
16
Berichte brachten den Vorfall mit einem Skript des Web-Monitoring-Dienstes DebugBear in Verbindung, das auf der Website von Polymarket eingebunden war. Blockchain-Analysen zeigten, dass eine mutmaßlich mit dem Angriff verbundene Adresse zeitweise POL im Wert von rund 2,65 Millionen US-Dollar hielt.
7
14
Was beim Handelsstopp geschah
Polymarket schaltete den internationalen Handelsplatz in den sogenannten „Cancel-only“-Modus: Nutzer konnten bestehende Orders stornieren, aber keine neuen Kauf- oder Verkaufsorders einstellen. Außerdem pausierte das Unternehmen seinen Relayer – einen Dienst, der bestimmte Aktionen auf der Plattform abwickelt.
12
14
Der Handel wurde Berichten zufolge gegen 15 Uhr US-Ostküstenzeit wieder aufgenommen, nach einer Unterbrechung von ungefähr einer Stunde. CNBC zufolge schien das US-Angebot von Polymarket nicht betroffen zu sein.
16 Welche Einschränkungen genau für Token-Übertragungen und Ausgabefreigaben galten, lässt sich anhand der verfügbaren Berichte nicht verlässlich feststellen.
DebugBear-Skript und mögliche Verluste
Sicherheitsberichte verorten schädlichen Code in einem Drittanbieter-Skript, das mit DebugBears Real User Monitoring in Verbindung gebracht wurde. Die vorliegenden Informationen belegen jedoch nicht unabhängig, welche konkrete Sicherheitslücke ausgenutzt wurde oder ob der Angriff genau über im Browser gespeicherte Zugangsdaten ablief. Auch die vollständige Abfolge – etwa ein Verkauf von Positionen zu stark reduzierten Preisen vor der Überweisung der Erlöse – ist damit nicht abschließend bestätigt.
Ein Trader gab an, 800.000 US-Dollar verloren zu haben; ein Freund von ihm habe weitere 600.000 US-Dollar eingebüßt. Diese Angaben sind persönliche Verlustmeldungen und nicht unabhängig bestätigte Gesamtschäden.
7
Laut Berichten über Arkham-Daten tauschte eine verdächtige Adresse erhaltene USDC.e und USDC in POL. Ihr Bestand erreichte zeitweise einen Wert von etwa 2,65 Millionen US-Dollar; anschließend wurden Gelder weiterübertragen. Der Betrag beschreibt einen beobachteten Wallet-Bestand und ist keine bestätigte Abrechnung der Verluste betroffener Nutzer.
4
5
14
Eine technische Analyse fand zudem eine fest im Skript hinterlegte Ersatz-Empfängeradresse. Ein Screenshot zeigte dort zu einem bestimmten Zeitpunkt POL im Wert von rund 2,18 Millionen US-Dollar. Die verfügbaren Auszüge klären nicht abschließend, wem diese Analyse zuzurechnen ist.
6
Erstattung und offene Fragen
Polymarket teilte mit, das Problem behoben und den Fall an Strafverfolgungsbehörden verwiesen zu haben. CNBC berichtete von einer Meldung an Behörden im Vereinigten Königreich. Das Unternehmen versprach, alle betroffenen Trader vollständig zu entschädigen; wie viele Nutzer betroffen waren, blieb zunächst offen.
13
16
Unabhängig vom Hack untersuchte Polymarket verdächtige, gut getimte und profitable Wetten rund um die israelische Wahl. Dabei ging es unter anderem um Einsätze zahlreicher neu angelegter Konten kurz vor Schließung der Wahllokale. Ein Zusammenhang zwischen diesen Wetten und dem Sicherheitsvorfall ist nicht belegt.
1
2
3
Weitere in der Berichterstattung genannte Hintergründe – darunter ein angeblicher Drittanbieter-Vorfall im Juni mit Verlusten von rund 3 Millionen US-Dollar, eine Bewertung von 21 Milliarden US-Dollar im September und ein erwarteter Handelsschub vor den US-Zwischenwahlen am 3. November – lassen sich anhand der verfügbaren Quellen nicht ausreichend bestätigen.