Die Krypto-Prognosebörse Polymarket hat am 25. Juni 2026 einen Sicherheitsvorfall bestätigt, bei dem Angreifer über einen kompromittierten Drittanbieter Geld von Nutzerkonten erbeutet haben. Der Fall zeigt einmal mehr, wie verwundbar Webanwendungen durch fremden Code werden können, selbst wenn die eigentliche Infrastruktur dahinter sauber abgesichert ist.

Was ist passiert

Nach Angaben von Polymarket wurde ein externer Dienstleister kompromittiert, dessen Code in die Website eingebunden war. Über diesen Umweg gelangte ein schädliches Skript in das Frontend der Plattform, allerdings nur für einen Teil der Nutzer. Das Unternehmen teilte über seinen offiziellen X-Account mit, man habe den Vorfall eingedämmt und die betroffene Abhängigkeit entfernt.

Das Skript zielte gezielt auf Wallets, die PUSD hielten, den eigenen Stablecoin von Polymarket. PUSD ist ein ERC-20-Token auf Polygon, der eins zu eins durch USDC gedeckt ist und seit dem Plattform-Upgrade im April 2026 als zentrales Collateral für Wetten auf Polymarket dient. Wer mit der manipulierten Oberfläche interagierte und sein Wallet verbunden hatte, wurde laut mehreren Onchain-Analysten dazu verleitet, eine Transaktion zu signieren oder eine Freigabe zu erteilen, die dem Angreifer Zugriff auf die PUSD-Bestände verschaffte.

Wichtig dabei: Die Smart Contracts von Polymarket selbst wurden nicht angegriffen. Der Angriffsvektor lag ausschließlich im Frontend, also in dem Code, der im Browser der Nutzer ausgeführt wird.

Schaden und Vorgehen der Angreifer

Der Onchain-Analyst Specter meldete als Erster den Geldabfluss und bezifferte ihn auf rund 2,94 Millionen US-Dollar aus mehr als elf betroffenen Wallets. Die Analysefirma PeckShield bestätigte den Vorfall kurz darauf und nannte eine ähnliche Größenordnung von etwa drei Millionen US-Dollar. Andere Quellen sprechen von weniger als 15 betroffenen Konten, die genaue Zahl hat Polymarket bislang nicht offiziell bestätigt.

Die gestohlenen PUSD-Token wurden zügig von Polygon nach Ethereum gebrückt und dort in Ether umgetauscht, ein gängiges Vorgehen, um die Spur zu verschleiern und die Beute schnell zu verwerten. PeckShield gibt die umgetauschte Menge mit rund 1.893 ETH an, Specter nennt für die Sammeladresse 0xe65b1C586757c5510B60F998Eebb14C1eF71E1eD einen Bestand von etwa 1.788,5 ETH, von denen zum Zeitpunkt der Meldung bereits 104,4 ETH (umgerechnet rund 165.130 US-Dollar) weiterbewegt worden waren. Polymarket hat laut eigener Aussage rund 15 Minuten nach den ersten öffentlichen Hinweisen reagiert und das Problem behoben. Welcher Drittanbieter konkret kompromittiert wurde, hat das Unternehmen nicht genannt.

Polymarket hat zugesichert, alle betroffenen Nutzer zu kontaktieren und ihre Verluste vollständig zu erstatten. Der Stablecoin PUSD hat seine Bindung an den Dollar während des gesamten Vorfalls gehalten.

Warum das relevant ist

Lieferkettenangriffe auf Webfrontends sind kein neues Phänomen, aber im Web3-Umfeld besonders schmerzhaft. Wer einmal eine Transaktion signiert, kann sie nicht per Rückbuchung widerrufen. Eine Plattform kann ihren eigenen Code noch so sauber halten, sobald sie fremde Bausteine wie Analyse-Snippets, Zahlungs-Widgets oder Schriftarten von externen Servern lädt, bleibt die Webseite selbst eine Angriffsfläche. Für Nutzer ist injizierter Schadcode im Frontend von legitimem Code praktisch nicht zu unterscheiden.

Der Vorfall reiht sich zudem in eine Serie von Problemen bei Polymarket ein. Erst im Mai 2026 hatte das Unternehmen einen kompromittierten, sechs Jahre alten privaten Schlüssel eines internen Operations-Wallets gemeldet, der einen Schaden von rund 700.000 US-Dollar verursachte. Damals war ausschließlich ein Mitarbeiter-Wallet betroffen, keine Nutzergelder. Wenige Tage vor dem aktuellen Vorfall hatte zudem das Wall Street Journal berichtet, Polymarket habe Influencer für irreführende Videos mit fingierten Wettgewinnen bezahlt.