Die Sicherheitsverletzung bei Polymarket am 29. Oktober erreichte Händler über einen kompromittierten Website-Anbieter. Forscher fanden Code, der versuchte, angemeldete Konten zu nutzen, um Positionen zu verkaufen und Vermögenswerte zu verschieben, was das Vertrauen der Händler in den Bildschirm offenlegt, den sie zur Verwaltung ihres Geldes nutzen.
Zusammenfassung
- Polymarket bestätigte einen kompromittierten Anbieter und stellte den internationalen Handel nach einer einstündigen Unterbrechung wieder her.
- Forscher brachten den Vorfall mit einem Performance-Monitoring-Skript in Verbindung, das von der Website geladen wurde.
- Der gefundene Code versuchte, innerhalb einer aktiven Sitzung auf den Handelsclient und den Signer zuzugreifen.
- Eine separate Sicherheitsverletzung bei einem Anbieter im Juni hatte bereits ein Versprechen auf vollständige Rückerstattungen ausgelöst.
- Das jüngste Rückerstattungsversprechen erklärt noch nicht, wie verkaufte Positionen bewertet werden.
Ein Händler unter dem Namen Car sagte, dass etwa 800.000 US-Dollar von seinem Polymarket-Konto verschwunden seien und alle seine Positionen verkauft worden seien. Er sagte, er habe auf einem separaten Gerät weitergehandelt und unbekannte Links vermieden.
Andere Händler meldeten Verluste, als Polymarket am 29. Oktober seine internationale Börse einschränkte. Das Unternehmen bestätigte später, dass ein Drittanbieter kompromittiert worden war, und versprach, betroffene Kunden zu entschädigen.
Der sich abzeichnende technische Bericht deutet auf Software hin, die innerhalb der echten Handelswebsite geladen wurde. Sicherheitsforscher fanden ein Monitoring-Skript, das versuchte, auf die Tools zuzugreifen, die ein angemeldeter Händler zum Platzieren von Orders und zur Autorisierung von Wallet-Aktionen verwendet.
Für diese Nutzer könnte die Gefahr über die Seite kommen, die sie bereits zum Handeln geöffnet hatten. Die Untersuchung betrifft die Software, die innerhalb dieser Seite läuft, und die Kontoberechtigungen, die sie erreichen konnte.
Die Vorfallmeldung von Polymarket verzeichnet eine Unterbrechung von 18:05 bis 19:05 UTC. Das Unternehmen erklärte, es habe das Problem behoben und den Vorfall an die Strafverfolgungsbehörden weitergeleitet, hat jedoch weder seine vollständige Untersuchung noch eine endgültige Gesamtverlustsumme veröffentlicht.
Die Sicherheitsverletzung ereignete sich vier Monate, nachdem ein weiterer kompromittierter Anbieter bösartigen Code in die Website eingebracht hatte. Polymarket versprach auch nach diesem Vorfall Rückerstattungen.
Händler meldeten verkaufte Positionen, bevor Polymarket den Handel einstellte
Ein Händler unter dem Namen Car sagte, sein Konto sei um etwa 800.000 US-Dollar geleert worden und ein Freund habe weitere 600.000 US-Dollar verloren. Er sagte, alle seine Positionen seien verkauft worden.
In Beiträgen, die den Vorfall beschrieben, sagte Car, er habe seine persönliche Aktivität, Softwareentwicklung und den Handel über verschiedene Geräte getrennt. Er vermutete ein Problem mit der Website der Plattform, da offenbar auch andere Nutzer betroffen waren.
Sein Konto beschrieb Verluste, die bei der Nutzung des Handelsdienstes erlitten wurden, und nicht eine Überweisung, die er nach eigener Aussage bewusst genehmigt hatte. Die spätere Erklärung von Polymarket bestätigte einen kompromittierten Anbieter, veröffentlichte jedoch keine Ergebnisse zu seinem individuellen Konto.
Ein weiteres Konto, StarPlatinum, verfolgte eine mutmaßliche Empfänger-Wallet und schätzte, dass sie 2,68 Millionen US-Dollar angesammelt hatte. Das Konto gab an, der Saldo sei während etwa einer Stunde von Abhebungen gewachsen.
Die Zeitleiste des Beobachters setzte die ersten Eingänge auf etwa 17:05 UTC, bevor das Unternehmen seine anfängliche Dienstbeschränkung veröffentlichte. Es behauptete, die Wallet habe um 17:25 UTC 412.000 US-Dollar und um 17:50 UTC 2,02 Millionen US-Dollar gehalten.
Wie crypto.news zuvor berichtete, enthielten die ersten Verlustmeldungen Behauptungen, dass Gelder über die Einzahlungs-Wallet-Infrastruktur von Polymarket geflossen seien. Diese Beschreibungen stammten von Händlern und Blockchain-Beobachtern, während das Unternehmen noch untersuchte.
Das Unternehmen erklärte später, es habe das Problem behoben und werde betroffene Nutzer entschädigen. Es bestätigte weder die individuellen Verlustbeträge noch übernahm es die Schätzung des Beobachters als seine endgültige Abrechnung.
Ein während des Vorfalls verbreiteter Screenshot zeigte eine Wallet-Signaturanfrage, die mit der Polymarket-Domain verbunden war. Er zeigte ein DepositWallet-Datenfeld und die Chain-Kennung von Polygon, zeigte jedoch keine abgeschlossene Transaktion oder die vollständigen Details, die zur Rekonstruktion der Aktivität eines individuellen Kontos erforderlich wären.
Die Nutzerberichte umfassten sowohl von Konten übertragene Vermögenswerte als auch Positionen, die verkauft wurden, bevor ihre Eigentümer sie schließen wollten. Polymarket hat nicht gesagt, ob jeder betroffene Nutzer beides erlebt hat.
Polymarket stellte den Dienst nach einer einstündigen Unterbrechung wieder her
Polymarket versetzte die Börse zunächst in einen Nur-Stornieren-Modus und pausierte Relayer-Aktionen, während das Team die Ursache untersuchte. Die Einschränkung erlaubte es Nutzern, bestehende Aufträge zu stornieren, während neue Aufträge und Trades nicht mehr verarbeitet wurden.
Um 18:37 UTC teilte das Unternehmen mit, es habe das Problem identifiziert und behoben, das seine internationale Plattform betraf. Es hieß, ein Drittanbieter sei kompromittiert worden, und der Handel bleibe vorsorglich vorübergehend ausgesetzt.
Die Statusseite enthielt um 18:55 UTC eine weitere Aktualisierung, wonach der Handel gegen etwa 15 Uhr Eastern Time wieder aufgenommen werde. Der Vorfall wurde um 19:05 UTC, also um 15:05 Uhr Eastern Daylight Time, als behoben markiert.
Die Wiederherstellungsmitteilung des Unternehmens bekräftigte seine Zusage, betroffene Trader zu entschädigen. Die Mitteilung kündigte nicht an, dass alle Rückerstattungen bereits geleistet worden seien, als der Handel wieder aufgenommen wurde.
Der Relayer von Polymarket ist Teil der Infrastruktur, die genutzt wird, um signierte Wallet-Aktionen an die Blockchain zu übermitteln. Die Pausierung dieser Aktionen ging während der Untersuchung mit den Einschränkungen des Orderbuchs einher.
Seine Handelsdokumentation beschreibt ein System, in dem Nutzer signierte Aufträge erstellen, ein Operator Käufer und Verkäufer zusammenführt und Verträge die Trades on-chain abwickeln. Die Mitteilung zum Vorfall im Oktober nannte die Predictions Trading API, gemeinhin CLOB genannt, unter den betroffenen Diensten.
Das Unternehmen veröffentlichte im Verlauf der Reaktion weiterhin Aktualisierungen über seinen öffentlichen Statusdienst. Kontozugriff, Marktdaten und Orderausführung sind dort separat aufgeführt.
Die am 29. Oktober angekündigte Einschränkung betraf die internationale Plattform. Polymarket nannte seine separate amerikanische Börse in der Mitteilung zum Vorfall nicht als betroffenen Handelsplatz.
Der Dienst wurde wieder aufgenommen, während die Untersuchung der unbefugten Transaktionen andauerte. Die öffentlichen Aktualisierungen nannten keinen Angreifer und beschrieben nicht, wie der Anbieter ursprünglich kompromittiert wurde.
Polymarket verwies den Vorfall laut seiner Erklärung und späteren Berichten an die Behörden im Vereinigten Königreich. DebugBear hat seinen Sitz im Vereinigten Königreich.
Ermittler brachten die Sicherheitsverletzung mit einem Überwachungsskript in Verbindung
Die Produkte von DebugBear helfen Website-Betreibern, Ladegeschwindigkeit und andere Aspekte der Besuchererfahrung zu messen. Sein Real-User-Monitoring-Dienst verwendet JavaScript, das in die Website eines Kunden eingebettet wird.
Der Anbieter räumte einen laufenden Sicherheitsvorfall ein und riet Kunden, die dieses Produkt nutzen, seinen Einbettungscode zu entfernen. Reuters identifizierte DebugBear unter Berufung auf eine mit der Angelegenheit vertraute Person als den am Polymarket-Vorfall beteiligten Anbieter.
Die eigene Statusmitteilung von Polymarket verwies auf einen Drittanbieter, ohne ihn zu nennen. Das Unternehmen erklärte, das Problem sei behoben worden, veröffentlichte mit dieser Ankündigung jedoch keinen vollständigen technischen Bericht.
Das Sicherheitsunternehmen Hudson Rock untersuchte eine JavaScript-Datei, die von der DebugBear-Infrastruktur ausgeliefert wurde. In seiner Untersuchung gaben die Forscher an, die Datei habe die laufende Anwendung von Polymarket nach dem Handelsclient und dem Signierer durchsucht, die von einem angemeldeten Konto verwendet werden.
Das Unternehmen erklärte, der Code habe Guthaben und Positionen geprüft, bevor er versucht habe, Werte an einen konfigurierten Empfänger zu übertragen. Es fand unterschiedliche Wege für die Übertragung von Positions-Token und den Verkauf von Positionen, bevor versucht wurde, den Erlös zu übertragen.
Hudson Rock erklärte, der Code habe versucht, den innerhalb einer authentifizierten Sitzung verfügbaren Zugriff wiederzuverwenden. Seine Prüfung identifizierte keine Routine, die eine Seed-Phrase, ein Passwort oder einen privaten Schlüssel an den Meldeendpunkt des Skripts gesendet hätte.
Die Forscher fanden in den Produktions-Build-Metadaten von Polymarket einen Hinweis auf die Entfernung der DebugBear-Integration. Sie erklärten, der Eintrag stütze die Entfernung der Integration, lasse jedoch den genauen Zeitraum der Nutzerexposition ungeklärt.
BleepingComputer untersuchte separat eine Kopie des Skripts und beschrieb Versuche, bestehende Handelssitzungen zu nutzen, um Aufträge zu platzieren und Vermögenswerte zu übertragen. Seine Blockchain-Überprüfung folgte etwa 28,6 Millionen POL vom mutmaßlichen Empfänger zu drei weiteren Wallets.
Die Publikation bewertete diese Bewegung zum Zeitpunkt ihrer Untersuchung auf etwa 2,57 Millionen Dollar. Hudson Rock nannte einen separaten Empfänger-Guthaben-Schnappschuss von nahezu 2,19 Millionen Dollar, während andere Beobachter Gesamtsummen von nahezu 2,7 Millionen Dollar meldeten.
Polymarket hat diese Schätzungen nicht in einer Unternehmensverlustrechnung abgeglichen. Die Berichte verwendeten unterschiedliche Beobachtungen und Bewertungszeitpunkte während einer Untersuchung, die noch andauerte.
Keine der öffentlichen Aktualisierungen des Unternehmens identifizierte die Person, die die Empfänger-Wallet kontrollierte. Die Kompromittierung des Anbieters, Berichte über unbefugten Handel und nachfolgende Übertragungen bleiben Gegenstand der an die Strafverfolgungsbehörden verwiesenen Untersuchung.
Das Rückerstattungsversprechen umfasst Händler, deren Positionen verkauft wurden
Polymarket erklärte, betroffene Nutzer würden vollständig entschädigt, und bekräftigte, dass es Händler nach der Wiederherstellung des Dienstes vollständig erstatten werde. Die Erklärung setzte keine Frist für die Einreichung von Ansprüchen und verlangte nicht, dass jeder Kunde innerhalb eines bestimmten Zeitraums Gelder abhebt.
Das Unternehmen hat keine detaillierte Rückerstattungsrichtlinie für den Vorfall im Oktober veröffentlicht. Es hat noch nicht erklärt, ob Zahlungen in jedem Fall automatisch erfolgen oder ob einige Nutzer Informationen über strittige Aktivitäten bereitstellen müssen.
Cars Bericht, dass seine Positionen verkauft wurden, wirft eine Frage auf, die über ein fehlendes Wallet-Guthaben hinausgeht. Ein Händler kann Kontrakte auf ein Ereignis halten, das noch nicht eingetreten ist, sie vor der Auflösung verkaufen oder sie bis zur Feststellung des Ergebnisses behalten.
Polymarkets Positionsdokumentation beschreibt Yes- und No-Bestände getrennt von der zum Kauf verwendeten Sicherheit. Ein vollständiges Set ist durch 1 pUSD gedeckt, während die endgültige Auszahlung eines einzelnen Ergebnisses vom aufgezeichneten Resultat abhängt.
Die Regeln der Plattform erlauben Händlern, Positionen vor der Auflösung zu verkaufen. Wenn ein unbefugter Verkauf erfolgt, kann die Handelshistorie des Kontos sowohl die entfernten Kontrakte als auch die vor einer späteren Auszahlung erhaltenen Erlöse aufzeichnen.
Polymarket hat nicht erklärt, ob es verkaufte Kontrakte wiederherstellen, Kunden anhand eines bestimmten Marktpreises entschädigen oder eine andere Methode anwenden wird. Sein öffentliches Versprechen umfasst betroffene Händler, ohne zu spezifizieren, wie jede Art von Kontoaktivität behandelt wird.
Die Orderdokumentation der Plattform zeichnet Phasen zwischen der Übermittlung einer Order und der Bestätigung eines abgeschlossenen Handels auf. Orders können offen bleiben, mit einem anderen Händler übereinstimmen, verfallen oder nicht abgewickelt werden.
Das Unternehmen kann bei der Überprüfung strittiger Aktivitäten sowohl auf Handels- als auch auf Blockchain-Aufzeichnungen zurückgreifen. Die Berichte der Nutzer über unerwünschte Verkäufe betreffen die Orderhistorie, während Übertragungen aus der Wallet einen separaten Transaktionsdatensatz hinterlassen.
In der Wiederherstellungsmitteilung erschien kein unternehmensweiter Zahlungsplan. Die Erklärung des Unternehmens forderte Kunden nicht auf, eine Wiederherstellungsgebühr zu zahlen oder Wallet-Wiederherstellungsdaten preiszugeben, um eine Rückerstattung zu erhalten.
Die Sicherheitsverletzung im Juni führte zu einem früheren Versprechen vollständiger Rückerstattungen
Das frühere Rückerstattungsversprechen des Unternehmens folgte auf eine Schätzung des Blockchain-Analysten Specter, dass mindestens 11 Wallets etwa 2,94 Millionen Dollar verloren hatten. Der Analyst beschrieb Nutzer, die PUSD hielten, deren Vermögenswerte anschließend in ETH umgewandelt wurden.
Specter charakterisierte den Vorfall als Phishing über die betroffene Schnittstelle. Die Offenlegung des Unternehmens identifizierte einen kompromittierten Anbieter als den Weg, über den das Skript einige Nutzer erreicht hatte.
AMLBot erhöhte später die geschätzten Verluste im Juni auf 3,1 Millionen Dollar. Sein Bericht vom 27. Juni beschrieb PUSD, das auf Polygon entnommen, über Relay umgewandelt, nach Ethereum überbrückt und gegen ETH getauscht wurde.
Polymarkets Verpflichtung im Juni bestand darin, betroffene Nutzer vollständig zu erstatten. Die Erklärung des Unternehmens im Oktober enthielt ein neues Rückerstattungsversprechen bezüglich des jüngsten Vorfalls.
Das Unternehmen hat nicht erklärt, dass die beiden Sicherheitsverletzungen denselben Lieferanten oder Angreifer betrafen. Die Offenlegung im Juni und die Untersuchung im Oktober betreffen beide externe Software, die von der Plattform genutzt wird, beschreiben jedoch separate Ereignisse im Abstand von vier Monaten.
Der frühere Vorfall ereignete sich, während Polymarket die Nutzung von PUSD in seiner gesamten Handelsinfrastruktur ausweitete. Seine Erklärung vom Juni betraf Nutzer, die von dem bösartigen Skript betroffen waren, ohne eine Aussetzung jedes unter der Marke Polymarket angebotenen Marktes anzukündigen.
Die Reaktion vom Oktober umfasste erneut die Entfernung oder Behebung der kompromittierten Integration und die Einschränkung von Aktivitäten, während das Team Untersuchungen durchführte. Die technischen Details und Opferzahlen, die in jedem Fall veröffentlicht wurden, folgten unterschiedlichen Zeitplänen.
Die Berichte vom Juni lieferten keine transaktionsweise Aufstellung, die die Abwicklung jeder Rückerstattung belegte. Auch die neueste Mitteilung von Polymarket veröffentlicht keine Liste abgeschlossener Erstattungen vom Oktober.
Forscher untersuchten Software, die innerhalb der Handelsseite lief
Die Untersuchung konzentrierte sich auf Code, der von einer Website geladen wurde, die Nutzer bereits kannten. Der Bericht von Hudson Rock beschrieb Versuche, den Handelsclient innerhalb der laufenden Anwendung zu lokalisieren, statt einer Anweisung an Nutzer, eine separat gebrandete Börse zu besuchen.
Die von Mozilla gepflegte Browser-Dokumentation erklärt, dass JavaScript, das direkt in eine Seite eingebettet ist, auf andere Skripte und Daten innerhalb dieser Seite zugreifen kann. Ein auf diese Weise geladenes Überwachungsskript läuft mit einem Zugriff, der sich von Inhalten unterscheidet, die in einem separaten Frame isoliert sind.
Website-Betreiber verwenden solche Integrationen für Analysen, Fehlerberichte und Leistungsmessung. DebugBear beschreibt sein Produkt zur Überwachung echter Nutzer als Sammlung von Informationen darüber, wie Besucher eine Website erleben.
Die Handelschnittstelle von Polymarket führt eine andere Reihe von Aufgaben aus, darunter die Anzeige von Positionen, die Vorbereitung von Aufträgen und die Interaktion mit einem Signierer. Die Forscher sagten, die abgerufene Datei habe Logik enthalten, die auf diese Handelsfunktionen gerichtet sei.
Die Wallet-Dokumentation von Polymarket beschreibt mehrere Kontotypen, darunter Deposit Wallets sowie ältere Proxy- und Safe-Wallets. Seine Dokumentation ordnet Deposit Wallets Konten zu, die am oder nach dem 4. Mai 2026 bereitgestellt wurden.
Die Plattform erlaubt einem Wallet-Inhaber, einen separaten Signierer für bestimmte Handelsaktivitäten zu autorisieren. Ihre Beta-Dokumentation zu Sitzungsschlüsseln besagt, dass ein solcher Schlüssel für ein Deposit Wallet handeln, aber dessen Guthaben nicht abheben kann.
Das Unternehmen hat Sitzungsschlüssel nicht als Ursache der Oktober-Verletzung identifiziert. Der Bericht der Forscher beschreibt Versuche, den Client und den Signierer zu nutzen, die in der Anwendung bereits verfügbar waren.
Der Auftragsleitfaden von Polymarket besagt, dass Nutzer strukturierte Nachrichten signieren, die die Ergebnis-Kennung des Handels, Seite, Preis, Größe und andere Bedingungen enthalten. Der Betreiber validiert Signaturen, Guthaben und Freigaben, bevor ein Auftrag abgeglichen wird.
Abgeglichene Trades werden dann an Abwicklungsverträge weitergeleitet, wobei die Plattform festhält, ob die Ausführung bestätigt oder fehlgeschlagen ist. Die Statusmitteilung vom Oktober berichtete weder von einem Ausfall des Polygon-Konsenses noch davon, dass jeder Abwicklungsvertrag kompromittiert worden sei.
Die öffentliche Reaktion des Unternehmens hat bisher die Kompromittierung des Anbieters identifiziert und Entschädigung versprochen, ohne eine vollständige Darstellung jedes Signierungs- und Übertragungswegs zu veröffentlichen.
Browserschutz hängt davon ab, welchem Code die Website vertraut
Eine Website kann die Software eines Anbieters laden, ohne den Besucher an eine andere Adresse zu schicken. Der Browser ruft die Datei im Rahmen des Öffnens der Seite ab, zusammen mit dem eigenen Anwendungscode der Börse.
Die Browser-Dokumentation von Mozilla erklärt, dass ein direkt in eine Seite eingebettetes Skript mit dem Zugriff der Seite operieren kann. Die kommerzielle Rolle des Anbieters als Leistungsmonitor erlegt seinem Code nicht selbst eine Browser-Beschränkung auf, die ihn auf die Messung von Ladezeiten beschränkt.
In einem separat isolierten Frame platzierte Inhalte haben andere Grenzen. Ein in die Handelsanwendung eingebundenes Skript erlangt diese Isolation nicht allein dadurch, dass ein anderes Unternehmen es liefert.
Die Oktober-Untersuchung verortet diese Unterscheidung innerhalb einer Finanzanwendung. Die Seite von Polymarket zeigt Guthaben und Positionen an, während sie sich mit Diensten verbindet, die Aufträge vorbereiten und Signaturen anfordern.
Das Unternehmen hat kein vollständiges Verzeichnis des externen Codes veröffentlicht, der in dieser Umgebung ausgeführt werden darf. Seine Vorfallserklärung identifiziert eine Kompromittierung des Anbieters, ohne die Berechtigungsprüfung zu beschreiben, die der Integration vorausging.
Browser bieten Kontrollen, die diese Exposition begrenzen sollen. Mozillas Subresource-Integrity-Dokumentation beschreibt eine Methode, um ein heruntergeladenes Skript anhand eines von der Website angegebenen kryptografischen Fingerabdrucks zu prüfen.
Wenn die heruntergeladene Datei vom erwarteten Fingerabdruck abweicht, weigert sich der Browser, sie auszuführen. Ein Lieferant, der die Datei ändert, würde daher die Zustimmung der Website zur neuen Version erfordern, bevor sie unter dieser Prüfung ausgeführt werden könnte.
Der Schutz hängt davon ab, dass die Website ihn für die betreffende Ressource einsetzt. Die Mitteilung von Polymarket sagt nicht, ob die betroffene Integration eine solche Prüfung verwendete oder Ergebnisse darüber veröffentlichte, warum der abgerufene Code akzeptiert wurde.
Mozillas Content-Security-Policy-Leitfaden beschreibt eine weitere Reihe von Kontrollen über ausführbare Skripte. Eine Richtlinie kann Quellen einschränken oder bestimmten Code mithilfe von Nonces und Hashes autorisieren.
Die Erlaubnis für den Host eines Lieferanten verifiziert nicht von sich aus jede Datei, die dieser Host ausliefert. Ein Host kann derselbe bleiben, während sich der von ihm gelieferte Inhalt ändert.
Diese Kontrollen wirken, bevor oder während Code im Browser ausgeführt wird. Sie dienen einem anderen Zweck als die Börsenüberwachung, die Aufträge prüft, nachdem ein Handelsclient sie übermittelt hat.
Handelsvollmacht und Auszahlungsvollmacht haben unterschiedliche Grenzen
Polymarkets eigene Dokumentation beschreibt Bemühungen, zu begrenzen, was ein delegierter Unterzeichner tun kann. Ihr Beta-Session-Key-System ermöglicht es einem Wallet-Inhaber, einen separaten Schlüssel für den Handel innerhalb festgelegter Grenzen zu autorisieren.
Die Dokumentation besagt, dass ein Session-Key keine Gelder abheben kann. Seine Berechtigungen können das zentrale Orderbuch, Kombinationsgeschäfte oder die unterstützten Handelsplätze umfassen, und der Inhaber erteilt die Autorisierung für einen definierten Zeitraum.
Eine Handelsberechtigung erlaubt weiterhin Aktivitäten, die ein Portfolio verändern. Die Unterscheidung ist wichtig für Kunden, die melden, dass Positionen ohne ihre Zustimmung verkauft wurden, noch bevor etwaige Erlöse das Wallet verlassen.
Polymarket hat das Beta-Session-Key-System nicht als Einstiegspunkt im Oktober identifiziert. Forscher beschrieben Versuche, den Live-Client und den Unterzeichner zu lokalisieren, die der Anwendung zur Verfügung stehen, während das Unternehmen noch erklären muss, welche Berechtigungen in jedem betroffenen Konto erfolgreich genutzt wurden.
Der Order-Lifecycle-Leitfaden der Plattform beschreibt Aufträge, die off-chain signiert werden, bevor ein Betreiber sie validiert und abgleicht. Die Prüfungen umfassen unter anderem die Signatur, Kontostände und Freigaben.
Die Abwicklung erfolgt dann über Blockchain-Verträge. Die Aufzeichnungen unterscheiden einen abgeglichenen Auftrag von einem, dessen Abwicklung bestätigt wurde oder fehlgeschlagen ist.
Eine gültige Signatur ist Teil dieses Prozesses, aber sie belegt nicht, dass die Person, die den Bildschirm betrachtet, die Transaktion wollte. Der gemeldete Angriff versuchte, die Autorisierung zu nutzen, die über die Anwendung verfügbar ist, die diese Anfragen vorbereitet.
Die öffentlichen Ergebnisse belegen nicht, dass jeder Wallet-Typ stilles Signieren erlaubte oder dass jede versuchte Aktion erfolgreich war. Polymarket unterstützt mehrere Wallet-Konfigurationen, und die unternehmensinterne Untersuchung hat die betroffenen Konten noch nicht diesen Konfigurationen zugeordnet.
Der Vorfall des Unternehmens im Juni hatte bereits eine ähnliche Abhängigkeit von externem Website-Code offengelegt. Die frühere Frontend-Verletzung umfasste ein bösartiges Skript, das einigen Besuchern über eine kompromittierte Abhängigkeit zugestellt wurde.
Die Reaktion im Oktober erforderte erneut Maßnahmen auf Plattformebene: eine Handelssperre, pausierte Relayer-Aktionen und eine Korrektur der betroffenen Integration. Die separaten Handelsgeräte der Kunden gaben ihnen keine Kontrolle über die Software, die die Website zu laden wählte.
Rückerstattungen müssen sowohl die Trades als auch das fehlende Bargeld berücksichtigen
Polymarket hat versprochen, betroffene Nutzer vollständig zu entschädigen, aber seine Statusmitteilung erklärt nicht, wie es Positionen bewerten wird, die ohne Zustimmung ihrer Eigentümer geschlossen wurden. Die Wiederherstellung eines Barguthabens und die Wiederherstellung einer offenen Event-Position können zu unterschiedlichen Kontobeständen führen.
Ein Trader, dessen Kontrakte verkauft wurden, könnte beabsichtigt haben, sie bis zur Auflösung eines Wahlergebnisses oder eines anderen Ereignisses zu halten. Die Verkaufsaufzeichnungen zeigen, welchen Erlös die Kontrakte in diesem Moment erzielten, während sich ihr späterer Marktwert vor der Erstattung ändern kann.
Das Unternehmen hat nicht mitgeteilt, ob es Kontrakte ersetzen, den Preis unmittelbar vor dem umstrittenen Verkauf zugrunde legen oder eine andere Bewertungsmethode anwenden wird. Es hat nicht angekündigt, dass Nutzer auf die Auflösung der zugrunde liegenden Ereignisse warten müssen.
Die Handelsaufzeichnungen und die Wallet-Historie von Polymarket liefern separate Teile dieses Kontos. Die Orderhistorie zeichnet Änderungen der Positionen auf, während Blockchain-Aufzeichnungen spätere Übertragungen von Sicherheiten oder Token zeigen können.
Der Kontostand einer Empfänger-Wallet kann für sich genommen nicht den Verlust jedes einzelnen Kunden identifizieren. Einzelne Ansprüche können eine Reihe von Trades, Übertragungen und späteren Bewegungen über andere Adressen umfassen.
Die frühere Untersuchung im Juni verfolgte Vermögenswerte von Polygon über eine Bridge und in ETH auf Ethereum. Ihre revidierte Verlustschätzung stieg nach der ursprünglichen Rückerstattungsankündigung, als Analysten mehr Aktivität nachverfolgten.
Polymarket hat weder eine Frist für Oktober-Ansprüche noch einen Zahlungsplan veröffentlicht. Sein internationaler Support-Service bleibt getrennt von der amerikanischen Börse, die in der Vorfallmitteilung nicht als betroffen genannt wurde.
Die Plattform stellte den Handel am 29. Oktober um 19:05 UTC wieder her. Ihre öffentliche Mitteilung verzeichnet den Servicevorfall als gelöst und behält gleichzeitig die Zusage bei, betroffene Kunden zu entschädigen.
Was zu beobachten ist
Technische Erkenntnisse: Welche Kontoberechtigungen das Skript erfolgreich genutzt hat und welche Wallet-Typen betroffen waren.
Lieferantenkontrollen: Die Erkenntnisse des Unternehmens darüber, wie externe Software in die Handelsanwendung gelangte.
Verlustabrechnung: Eine Gesamtsumme des Unternehmens, die betroffene Konten und unbefugte Transaktionen in Einklang bringt.
Rückerstattungsbedingungen: Wie Polymarket verkaufte Positionen bewertet und wann Kunden eine Entschädigung erhalten.
FAQ
Was ist am 29. Oktober mit Polymarket passiert?
Polymarket gab an, dass ein Drittanbieter kompromittiert wurde und die internationale Plattform vorübergehend eingeschränkt wurde. Der Handel wurde nach einem einstündigen Servicevorfall wieder aufgenommen.
Wie viel haben die Händler verloren?
Ein Beobachter schätzte 2,68 Millionen US-Dollar, und andere Tracing-Berichte ergaben Zahlen nahe 2,7 Millionen US-Dollar. Polymarket hat weder eine endgültige Verlustsumme bekannt gegeben noch die Zahl der betroffenen Konten bestätigt.
Hat Polymarket versprochen, die Nutzer zu entschädigen?
Ja. Das Unternehmen erklärte, dass Händler, die vom Vorfall am 29. Oktober betroffen waren, vollständig entschädigt würden, und bekräftigte seine Erstattungszusage, als der Handel wieder aufgenommen wurde.
Was haben die betroffenen Händler berichtet?
Ein Händler mit dem Namen Car sagte, es seien etwa 800.000 US-Dollar entwendet und alle seine Positionen verkauft worden. Er sagte, ein Freund habe weitere 600.000 US-Dollar verloren, obwohl Polymarket diese individuellen Behauptungen nicht bestätigt hat.
Welcher Anbieter wurde mit der Sicherheitsverletzung in Verbindung gebracht?
Berichte und Sicherheitsforscher brachten den Vorfall mit dem Überwachungsskript von DebugBear in Verbindung. Die Statusmitteilung von Polymarket vom 29. Oktober bestätigte einen kompromittierten Anbieter, ohne ihn zu nennen.
War dies dieselbe Sicherheitsverletzung wie im Juni?
Nein. Die Offenlegung vom 25. Juni betraf einen separaten Vorfall bei einem Anbieter, wobei die Verluste später auf 3,1 Millionen US-Dollar geschätzt wurden. Das Unternehmen hat keinen gemeinsamen Angreifer oder Anbieter zwischen den beiden Fällen bekannt gegeben.
Wurde in der Mitteilung gesagt, dass Polymarket US betroffen war?
Nein. Die Mitteilung zum Vorfall vom 29. Oktober nennt die internationale Plattform, während die amerikanische Börse separat betrieben wird.
Was geschieht mit Positionen, die ohne Zustimmung des Eigentümers verkauft wurden?
Polymarket hat in seiner Erklärung vom 29. Oktober keine Entschädigungsmethode für verkaufte Positionen veröffentlicht. Seine Zusage besteht darin, betroffene Händler vollständig zu entschädigen. Dies ist eine edukative Analyse, keine Anlageberatung.
