Polymarket bestätigt Diebstahl von bis zu 700.000 US-Dollar aus interner Wallet – Kundengelder nicht betroffen

Polymarket hat am Freitag einen Sicherheitsvorfall bestätigt: Eine interne "Top-up"-Wallet, die für die Auszahlung von Rewards genutzt wurde, ist nach der Kompromittierung des Private Keys geleert worden. Das Unternehmen betonte, dass weder Kundengelder noch Marktergebnisse oder die Abwicklung der Märkte betroffen seien. Auslöser der öffentlichen Hinweise war am 22. Mai der On-Chain-Ermittler ZachXBT. Er meldete einen mutmaßlichen Abfluss im Umfeld der Polygon-Infrastruktur von Polymarket und bezifferte den Schaden zunächst auf mehr als 520.000 US-Dollar aus Adressen, die mit dem Prognosemarkt in Verbindung stehen. Kurz darauf bestätigten Polymarket-Entwickler den Vorfall auf X: Betroffen sei eine Wallet für interne Rewards-Top-ups, "nicht Verträge oder die Kerninfrastruktur". Nutzerbestände und Marktauflösungen blieben demnach sicher. Rund eine Stunde nach den ersten Veröffentlichungen schätzte die Analyseplattform Bubblemaps den Verlust auf etwa 700.000 US-Dollar. Nach Angaben der Plattform wurden die entwendeten Mittel auf 16 Adressen verteilt und anschließend über zentrale Börsen und weitere Dienste weitergeleitet. Bubblemaps zufolge seien die verdächtigen Abflüsse inzwischen zum Stillstand gekommen. Sicherheitsanalysen mehrerer unabhängiger Prüfer und Security-Firmen deuten auf einen operativen Fehler statt eines Protokoll-Exploits hin. Andy Yajin Zhou, Associate Professor an der Chinese University of Hong Kong und Mitgründer der On-Chain-Sicherheitsfirma BlockSec, sagte gegenüber Decrypt, die Indizien sprächen für die Kompromittierung des Private Keys einer Admin-Wallet – nicht für eine Schwachstelle in der Adapter-Contract-Logik oder der Prognosemarkt-Infrastruktur. Die Blockchain-Sicherheitsfirma Cyvers kam zu einem ähnlichen Ergebnis und verwies auf das Branchenrisiko privilegierter Wallets und unzureichenden Key-Managements. Dan Dadybayo, Strategy Lead beim Infrastrukturunternehmen Horizontal Systems, ordnete den Vorfall in einen größeren Trend ein: Angreifer zielten zunehmend auf operative Ebenen wie Admin-Wallets, Berechtigungen und Signierprozesse, statt Smart Contracts direkt auszunutzen. Für Polymarket ist entscheidend, dass die Kernverträge zur Erfassung von Wetten und zur Marktauflösung externe Services zur Ergebnisbestätigung nutzen. Da die kompromittierte Wallet ausschließlich für Rewards-Zahlungen eingesetzt wurde, sieht das Unternehmen keine Auswirkungen auf Abrechnungen und Nutzerbilanzen. Der Fall unterstreicht ein branchenweites Problem: Selbst robuste Smart Contracts können durch schwaches Schlüsselmanagement, zu lockere Zugriffskontrollen oder unzureichendes Monitoring privilegierter Wallets ausgehebelt werden. Polymarket und On-Chain-Analysten beobachten die Geldflüsse weiter. Decrypt habe Polymarket um weitere Stellungnahme gebeten. Der Bericht wird aktualisiert, sobald neue Informationen vorliegen.