Polymarket hat seine Exchange am Donnerstag, 29. Oktober, in den Cancel-only-Modus versetzt und Relayer-Aktionen pausiert, nachdem Nutzer von unautorisierten Abbuchungen auf ihren Konten berichtet hatten. Später bestätigte das Unternehmen, dass einer seiner Drittanbieter kompromittiert wurde, und kündigte an, alle Betroffenen schadlos zu halten.
Ablauf des Vorfalls
Laut dem Verlauf der Polymarket-Statusseite dauerte der gesamte Vorfall von der ersten Meldung bis zur Lösung eine Stunde.
Zeit (UTC) | Status | Meldung |
|---|---|---|
18:05 | Untersuchung läuft | Exchange im Cancel-only-Modus, Relayer-Aktionen pausiert |
18:37 | Identifiziert | Problem behoben; Drittanbieter kompromittiert, Strafverfolgungsbehörden eingeschaltet |
18:55 | Überwachung | Handel soll etwa um 15 Uhr ET wieder starten |
19:05 | Gelöst | Vorfall als gelöst markiert |
Im Update von 18:37 Uhr erklärte Polymarket, das Problem betreffe die internationale Plattform Polymarket.com. Der Handel sei „aus übergroßer Vorsicht“ gestoppt worden. Dieselbe Mitteilung veröffentlichte das Unternehmen auf X.
Das Skript, das Konten leerte
Forscher von Hudson Rock luden um 18:12:06 UTC die Datei cdn.debugbear.com/C7xcKKrjUnXK.js herunter und fanden eine Nutzlast von 15.187 Byte mit Logik zum Abziehen von Wallets, wie aus ihrer veröffentlichten Analyse hervorgeht. DebugBear ist ein Dienst zur Überwachung der Web-Performance.
Die Prüfung ergab keine Routine, die private Keys, Passwörter oder Seed-Phrases an den Angreifer sendet. Stattdessen nutzte das Skript die Berechtigung der bereits im Browser eingeloggten Sitzung:
- Las die Local-Storage-Einträge polymarket.auth.params, polymarket.auth.proxyWallet und poly_clob_api_key_map aus
- Durchsuchte React-Komponenten intern nach dem aktiven Trading-Client und suchte nach Methoden wie postOrder und createOrder
- Berechnete den Portfoliowert und wendete Schwellenwerte von 10 für den Gesamtwert und 10 pro Position an
- EOA-Konten: erstellte eine ERC-1155-Batch-Überweisung der Positions-Token an den Empfänger
- Magic-Konten: schickte Verkaufsorders zu zunehmend aggressiven Preisen ab und überwies anschließend den Erlös
- Meldete Wallet-Adresse, IP, Land, Portfoliowert und Überweisungsergebnisse an data.debugbear.com
Der Produktionscode von Polymarket enthält die Build-Nachricht „chore(polymarket): remove debugbear rum script (#15337)“ mit dem Zeitstempel 17:59:20 UTC. Hudson Rock weist darauf hin, dass ein Build-Zeitstempel den genauen Zeitpunkt der Bereitstellung nicht belegt.
Gemeldete Verluste und die Empfängeradresse
Der Trader Car (@CarOnPolymarket) gab an, sein Konto sei um 800.000 $ geleert und alle seine Positionen seien verkauft worden. Die Summe stammt vom Nutzer selbst und wurde von Hudson Rock nicht on-chain überprüft.
Die Adresse 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, die im Skript als Ausweich-Empfänger fest hinterlegt ist, zeigte zum Zeitpunkt der Aufzeichnung auf PolygonScan folgende Bestände:
Asset | Wert |
|---|---|
POL | 2.178.191,78 $ |
Andere Token | 16.170,39 $ |
Gesamt | ca. 2,19 Mio. $ |
Hudson Rock zufolge sollte der Bestand nicht zu den 800.000 $ Verlust addiert werden, da sich beide Beträge überschneiden könnten. Die Zahl der betroffenen Nutzer, die Gesamtverluste und der ursprüngliche Angriffsweg sind weiterhin unbekannt.
Was das für dich bedeutet
Hattest du Polymarket.com während des Vorfalls mit einer authentifizierten Sitzung geöffnet, empfiehlt Hudson Rock, die betroffenen Tabs zu schließen. Prüfe außerdem aus einer sauberen Sitzung heraus die letzten Orders, Positionsbewegungen und Wallet-Transaktionen.
- Lehne jede Signatur- oder Freigabeanfrage ab, die du nicht selbst ausgelöst hast
- Prüfe aktive Sitzungen und API-Zugangsdaten anhand der Support-Hinweise der Plattform
- Das Trennen einer Wallet macht abgeschlossene Überweisungen nicht rückgängig und widerruft keine On-chain-Freigaben
- Meide „Recovery“-Links von unaufgeforderten Accounts und gib deine Seed-Phrase niemals weiter