Polymarket Supply-Chain-Frontend-Angriff über DebugBear

Am 29. Oktober 2026 wurde Polymarket um etwa 2,7 Millionen US-Dollar erleichtert, nachdem ein kompromittierter Drittanbieter für Monitoring bösartiges JavaScript in das Frontend seiner internationalen Handelsplattform eingeschleust hatte.

Was geschah

Polymarket erklärte lediglich, „einer unserer Drittanbieter wurde kompromittiert". Eine mit der Sache vertraute Person sagte CNBC, der Einstiegspunkt sei ein Hack von DebugBear gewesen, einem britischen Unternehmen für Website-Performance-Monitoring; DebugBear bestätigte, von „einem laufenden Sicherheitsvorfall betroffen" zu sein. Hudson Rock stellte fest, dass ein über DebugBears Real-User-Monitoring-Infrastruktur geladenes Skript Code enthielt, der auf angemeldete Handelssitzungen abzielte und nicht autorisierte Transaktionen direkt aus dem Browser ausführte. Die Smart Contracts der Plattform waren nie der Schwachpunkt. Blockchain-Analysten (Betting Intelligence, Polysights und Bubblemaps) zählten rund 2,7 Millionen US-Dollar, die aus etwa 700 Wallets abgezogen wurden; die mutmaßliche Angreiferadresse hielt nach dem Tausch der gestohlenen Vermögenswerte etwa 2,65 Millionen Dollar in POL, dem nativen Token von Polygon. Polymarkets US-Plattform war nicht betroffen.

Folgen

Polymarket versetzte seine internationale Plattform in den Cancel-Only-Modus und pausierte den Handel etwa eine Stunde lang, bevor er gegen 15:00 ET wieder aufgenommen wurde. Das Unternehmen erklärte, betroffene Händler würden „schadlos gehalten" und man „entschädige alle betroffenen Händler vollständig", und verwies die Angelegenheit an die britischen Strafverfolgungsbehörden. Eine bestätigte Verlustzahl, eine Nutzerzahl oder einen Zeitplan für die Entschädigung nannte es nicht.

Warum es wichtig ist

Dies ist Polymarkets zweite Supply-Chain-Frontend-Kompromittierung im Jahr 2026, nach dem Frontend-Phishing-Angriff vom Juni, der über einen anderen Anbieter etwa 2,94 Mio. USD abzog. Die Wiederholung unterstreicht eine strukturelle Schwäche nicht-verwahrender Web-Apps: Ein einziges Drittanbieter-Skript — Analytics, Monitoring oder ein Tag-Manager —, das in eine Seite geladen wird, die Transaktionen signiert, wird zum direkten Zugang zu Nutzerfunds. Wie beim früheren Vorfall hielten die Verträge; der Browser nicht. Es bestätigt das Katalogthema, dass Frontend- und Drittanbieter-Abhängigkeiten heute eine primäre Angriffsfläche sind, unabhängig von der Qualität des On-Chain-Codes.