Bei Polymarket sind am 29. Oktober 2026 geschätzte 2,7 Millionen Dollar aus mehr als 700 Konten abgeflossen, wie Casino.org zuerst berichtete. Bemerkenswert ist daran weniger die Summe als der Weg, auf dem sie überhaupt sichtbar wurde: Der Diebstahl hat auf einer öffentlichen Blockchain stattgefunden, und dort hinterlässt jedes Geld eine Spur.
Die Spur über drei Adressen
On-Chain-Analysen verfolgten rund 2,57 Millionen Dollar in Polygons POL-Token von einer zentralen Angreifer-Wallet über drei getrennte Adressen. Weil jede Transaktion dauerhaft im Ledger steht, rekonstruierten Analysten den Geldfluss, ohne irgendwelchen Zugriff auf Polymarkets Systeme zu brauchen: Transfers werden gezählt, nach Absender gebündelt und so zu einem Bewegungsbild zusammengefasst, das die Ermittlung sonst aufwendiger Bankenauskünfte bräuchte. Die 2,57 Millionen sind dabei der rückverfolgte Teil, keine Gesamtbilanz, und sie beziehen sich nur auf einen Token.
Die weiter gefasste Schätzung von 2,7 Millionen Dollar und rund 700 betroffenen Konten stammt ebenfalls von Blockchain-Analysten. Polymarket hat keine der beiden Zahlen bestätigt. Dass die Werte auseinanderliegen, ist kein Widerspruch: Der Trace erfasst nur, was bis zu den Angreifer-Adressen zurückzuverfolgen war, während die Schätzung den gesamten Schaden abbilden will.
Warum der Schaden überhaupt nachvollziehbar war
Aufschlussreich ist auch, wie das Geld in Bewegung kam. Sicherheitsforscher von Hudson Rock identifizierten ein verändertes Skript auf der Infrastruktur des britischen Performance-Dienstes DebugBear, das in eingeloggten Polymarket-Sitzungen lief, Guthaben und offene Positionen auslas und die Bestände automatisch in die Angreifer-Wallet übertrug. Weder ein Phishing-Link noch ein Passwort spielten eine Rolle, und genau deshalb sind die Liquidierungen als saubere Ketten-Transfers sichtbar: Ein klassischer Credentials-Diebstahl, bei dem ein Angreifer sich still in Konten einloggt, würde sich so nicht abbilden.
Für Krypto-Nutzer bleibt die Lehre nüchtern. Ob die eigenen Bestände über mehrere Chains verteilt liegen, ändert an einer solchen Lieferketten-Attacke nichts, weil sie in der Website selbst ansetzt. Was sie ändert, ist die Sichtbarkeit: Weil die Abflüsse on-chain lagen, konnte der Schaden binnen eines Tages auf Adressen und Token heruntergerechnet werden, statt in Unkenntnis zu bleiben.
Erstattung mit Bedingungen
Polymarket hat zugesagt, alle Betroffenen zu entschädigen. Verluste unter 10.000 Dollar sollten laut einer Nachricht der Plattform auf Discord bis Freitag, den 30. Oktober, erstattet werden. Wer mehr verloren hat, muss vor der Auszahlung eine Release-Vereinbarung unterschreiben; was genau diese Vereinbarungen vorsehen, ist nicht bekannt.
Berichten zufolge ist es bereits der zweite Vorfall dieser Art binnen vier Monaten: Im Juni 2026 flossen nach einer Kompromittierung eines anderen Drittanbieters rund 3 Millionen Dollar aus Polymarket-Wallets ab.