Eröffnung
Am 14. Juni 2026 bestätigte Polymarket einen internen Wallet-Hack, der sein System für operative Belohnungen betrifft. Der Verstoß, zuerst von dem On-Chain-Analyseunternehmen Bubblemaps gemeldet, beinhaltete verdächtige automatisierte Überweisungen von einer Wallet, die mit der Ausschüttung von Belohnungen der Plattform verknüpft war. Polymarket stellte klar, dass die Gelder der Nutzer sicher bleiben, und führte den Vorfall auf eine Kompromittierung eines privaten Schlüssels zurück – nicht auf einen Fehler in den zentralen Smart Contracts der Plattform. Die Unterscheidung ist entscheidend: Eine Schwachstelle in einem Smart Contract hätte jede Dollar auf der Plattform gefährdet, während eine kompromittierte operative Wallet ein abgegrenztes Problem darstellt. Dieser Vorfall zeigt, wie moderne Prediction Markets Sicherheitsausfälle behandeln und wie architektonische Entscheidungen den Schaden begrenzen, wenn es zu Einbrüchen kommt.
Die Entdeckung: Bubblemaps warnt und automatisierte Abflüsse
Das erste öffentliche Signal kam von Bubblemaps, einem On-Chain-Visualisierungstool, das Wallet-Cluster und Token-Flows über mehrere Netzwerke hinweg überwacht. Ihr automatisiertes Warnsystem meldete ein Muster von Abflüssen von einer bekannten Polymarket-zugeordneten Adresse im Polygon-Netzwerk und löste damit sofortige Aufmerksamkeit in der breiteren Krypto-Sicherheitscommunity aus.
Innerhalb weniger Stunden bestätigten unabhängige Forschende die Erkenntnis. Die Wallet war systematisch durch eine Reihe identischer Transaktionen entleert worden, wobei jeweils ein fester Betrag an POL-Token in regelmäßigen Intervallen bewegt wurde. Die mechanische Präzision der Überweisungen deutete auf eine automatisierte Ausführung hin.
Mustererkennung: Wiederkehrende 5.000 POL-Transfers
Der Angreifer führte Transfers von exakt 5.000 POL aus, ungefähr alle 12 Minuten, über mehrere Stunden hinweg. Dieser schleichende Abfluss verteilt den Diebstahl auf Dutzende kleinerer Transaktionen statt auf eine einzige große Transaktion, die sofort Alarme auslösen würde.
Als Bubblemaps die Alarmmeldung auslöste, waren etwa 230.000 POL (im damaligen Gegenwert von rund $115.000) aus der Wallet abgezogen worden. Die Gleichförmigkeit der Beträge und der Zeitpunkte ließ stark darauf schließen, dass ein Script oder Bot die Extraktion steuerte.
Verfolgung der Angreifer-Adresse im Polygon-Netzwerk
On-Chain-Ermittler konnten die empfangende Adresse schnell zurückverfolgen. Die Adresse des Angreifers hatte vor dem Vorfall keine vorherige Transaktionshistorie – typisch für frisch generierte Wallets, die für Exploits genutzt werden. Blockchain-Forensikunternehmen, darunter Chainalysis und Arkham Intelligence, begannen innerhalb von 24 Stunden, die zugehörigen Adressen zu taggen.
Offizielle Stellungnahme von Polymarket: Kompromittierung einer internen Wallet
Die Reaktion von Polymarket erfolgte ungefähr sechs Stunden nach dem Bubblemaps-Alarm. Die Plattform veröffentlichte eine Stellungnahme auf X (früher Twitter) sowie in ihrem offiziellen Blog und bestätigte den Einbruch. In der Stellungnahme wurde ausdrücklich darauf hingewiesen, dass keine Nutzer-Salden, keine Marktpositionen und keine Mechanismen zur Auflösung betroffen waren. Polymarket beschrieb den Vorfall als eine „Kompromittierung des privaten Schlüssels einer internen operativen Wallet“.
Leck des privaten Schlüssels vs. Schwachstelle im Smart Contract
Eine Schwachstelle in einem Smart Contract bedeutet, dass der Code, der die Kernfunktionen der Plattform steuert, einen Fehler aufweist, den ein Angreifer ausnutzen kann. Eine Kompromittierung des privaten Schlüssels bedeutet, dass jemand Zugriff auf den kryptografischen Schlüssel erlangte, der eine bestimmte Wallet kontrolliert. Die Smart Contracts der Plattform funktionierten exakt wie vorgesehen; das Problem bestand darin, dass eine unbefugte Partei die Zugangsdaten für genau eine bestimmte Adresse erhielt.
Das jüngste Smart-Contract-Audit von Polymarket, durchgeführt von Trail of Bits Anfang 2026, fand keine kritischen Schwachstellen. Diese Audit-Ergebnisse bestätigen die Integrität des Codes, der die Gelder der Nutzer verwaltet.
Die Rolle der operativen Wallet bei Belohnungszahlungen
Die kompromittierte Wallet hatte eine spezifische Funktion: Sie verteilte Liquidity-Mining-Belohnungen und Promotion-Anreize an aktive Trader. Sie hielt POL-Token, die für diese Programme vorgesehen waren, nicht USDC oder andere Stablecoins, die für Marktpositionen genutzt werden.
Diese Wallet arbeitete als Hot Wallet, das heißt: Ihr privater Schlüssel war so gespeichert, dass automatisierte, häufige Transaktionen möglich waren. Hot Wallets ermöglichen Geschwindigkeit und Automatisierung, bergen aber ein höheres Risiko, weil ihre Schlüssel für Online-Systeme zugänglich sind.
Folgenabschätzung und Beruhigung der Nutzersicherheit
Der finanzielle Schaden durch diesen Vorfall war vergleichsweise begrenzt. Die ungefähr $115.000 in gestohlenen POL stellen einen kleinen Teil des gesamten Werts dar, der bei Polymarket zum Zeitpunkt des Angriffs gesperrt war und mehr als 480 Millionen betrug. Das tägliche Handelsvolumen der Plattform war nicht betroffen, und keine Märkte wurden pausiert oder gestört.
Abgrenzung von Nutzereinlagen und Marktauflösungen
Die Gelder der Nutzer bei Polymarket werden in Smart Contracts auf Polygon gehalten, die durch den Code des Protokolls gesteuert werden – nicht durch einen einzelnen privaten Schlüssel. Einzahlungen, Auszahlungen und Marktauflösungen werden alle über diese Contracts ausgeführt. Die kompromittierte operative Wallet hatte keine Autorität über diese Funktionen.
Die operative Wallet konnte nur POL für Belohnungen senden; sie konnte nicht mit den Nutzer-Salden interagieren, Marktparameter ändern oder Auflösungen auslösen.
Aktueller Status der Plattform-Operationen und Liquidität
Zum Zeitpunkt der Erstellung dieses Textes ist Polymarket vollständig betriebsbereit. Die Belohnungsausschüttungen wurden vorübergehend pausiert, während das Team die Schlüssel rotierte und eine Ersatz-Wallet einsetzte. Die Plattform bestätigte, dass ausstehende Belohnungen, die Nutzern zustehen, aus einer separaten Treasury-Zuweisung erfüllt würden.
Die Liquidität über wichtige Märkte hinweg, darunter US-politische Prediction Markets und globale Event-Contracts, blieb stabil. In den 48 Stunden nach der Offenlegung kam es zu keinem nennenswerten Anstieg bei Abhebungen.
Sicherheitsimplikationen für dezentrale Prediction Markets
Dieser Hack wirft Fragen auf, wie Prediction Markets mit der Spannung zwischen Dezentralisierung und betrieblicher Bequemlichkeit umgehen. Polymarket arbeitet als Hybrid: Die Kern-Mechanik der Märkte läuft auf Smart Contracts, aber unterstützende Funktionen stützen sich auf traditionellere, zentralisierte Infrastruktur.
Risiken zentralisierter operativer Wallets
Jede Wallet, die von einem einzelnen privaten Schlüssel kontrolliert wird, ist ein Ziel. Häufige Angriffspunkte sind kompromittierte Entwicklergeräte oder Cloud-Umgebungen, in denen Schlüssel gespeichert sind, Phishing-Angriffe, die Teammitglieder mit Wallet-Zugriff ins Visier nehmen, Insider-Bedrohungen sowie Supply-Chain-Angriffe auf Schlüsselverwaltungssoftware.
Der Vorfall bei Polymarket wurde noch keinem konkreten Angriffsszenario zugeordnet, obwohl die Plattform erklärte, dass eine Untersuchung mit Unterstützung externer Sicherheitsfirmen läuft.
Best Practices zur Minderung von Hot-Wallet-Exposition
Mehrere Maßnahmen können das Risiko und die Auswirkungen von Hot-Wallet-Kompromittierungen senken:
- Nutze Multisig-Wallets für jede Adresse, die einen signifikanten Wert hält, auch für operative
- Implementiere Ausgabebeschränkungen, die festlegen, wie viel jeder einzelne Transaktion oder Zeitraum maximal bewegen darf
- Rotieren der Schlüssel in regelmäßigen Abständen und nach jedem Wechsel von Personal
- Hot-Wallet-Schlüssel in Hardware-Sicherheitsmodulen statt in softwarebasierten Lösungen speichern
- Überwache Abflüsse in Echtzeit mit automatisierten Warnungen, die so kalibriert sind, dass sie anomale Muster erkennen
Polymarket hat angezeigt, dass es mehrere dieser Maßnahmen für seine Ersatz- operative Wallet übernehmen wird, darunter Multisig-Anforderungen und Ausgabebegrenzungen pro Transaktion.
Laufendes Monitoring und zukünftige Schritte zur Behebung
Polymarket verpflichtete sich, innerhalb von 30 Tagen einen vollständigen Post-Mortem-Bericht zu veröffentlichen, einschließlich der Ursache für das Schlüssel-Leck, einer detaillierten Zeitleiste und der konkreten Remediation-Schritte, die umgesetzt werden.
Die Reaktion der Plattform war weitgehend transparent und setzte damit ein positives Beispiel. Während Plattformen wie Polymarket und Kalshi um Marktanteile konkurrieren, werden Sicherheitsvorfälle zunehmend das Vertrauen der Nutzer und die regulatorische Wahrnehmung prägen. Ein gut behandelter Einbruch – mit schneller Offenlegung, klarer Kommunikation und nachweisbarer Eindämmung – kann die Glaubwürdigkeit einer Plattform stärken.
