LONDON (IT BOLTWISE) – Ein manipuliertes DebugBear-Skript hat am 29. Oktober mehrere eingeloggte Polymarket-Accounts ausgenutzt und Gelder umgeleitet. Laut Blockchain-Transparenz landeten in weniger als einer Stunde rund 2,64 Millionen US-Dollar in der Angreifer-Wallet. Polymarket reagierte noch am selben Tag mit Site-Bereinigung, Cache-Reset und pausiertem Trading und erstattet inzwischen den Großteil der betroffenen Wallets. Unklar bleibt, wie genau die Schwachstelle entlang der Lieferkette bis zum kompromittierten Script gelangte.
Bei Polymarket ist es am 29. Oktober zu einem klar definierten, technisch getriebenen Zahlungsabfluss gekommen: Schadcode auf der Website verkaufte bzw. verschob die Positionen eingeloggter Nutzer und leitete die Erlöse an die Angreifer-Wallet weiter. Der Angriff lief darüber, dass ein Page-Speed-Element, das normalerweise von einem externen Dienst geladen wird, durch eine manipulierte Version ersetzt wurde. Polymarket beziffert die Rückzahlungen auf etwa 2,7 Millionen US-Dollar an 726 betroffene Wallets, während Blockchain-Register in weniger als einer Stunde einen Zufluss von Kryptowerte im Umfang von rund 2,64 Millionen US-Dollar in der Angreifer-Wallet zeigen.
Im Kern betrifft die Vorfälle weniger „Krypto-Diebstahl per brutaler Gewalt“, sondern die Missnutzung von Signatur- und Handelsmechanismen im Browser. Laut Hudson Rock wurde die bösartige Datei an dem Tag direkt von dem Server aus heruntergeladen, den Polymarket zum Laden des DebugBear-Skripts verwendete; zusätzlich fanden die Forschenden eine Code-Änderung auf der Polymarket-Seite, die das DebugBear-Skript aus dem ursprünglichen Ablauf entfernt haben soll. DebugBear erklärt, dass die DNS-Einträge über den Domain-Registrar kompromittiert wurden – damit reicht ein kompromittierter Lieferpfad aus, um vertrauenswürdigen JavaScript-Code als Teil normaler Seitenfunktionen auszuliefern. Ein weiterer Hinweis kommt von Ohey: Zu 18:13 UTC soll noch ein anderer Server für DebugBear-Webadressen geantwortet haben, während am selben Tag das „normale“ Skript noch aus Google Cloud Storage ausgeliefert wurde.
Technisch rekonstruieren die Analysten den Ablauf so, dass der Schadcode den bereits vorhandenen Zugriff eines signierten Traders innerhalb einer offenen Polymarket-Seite wiederverwendet. Hudson Rock schreibt, der Code lese Kontodaten aus, die Polymarket im Browser hält – darunter eine Reihe von Trading-API-Keys. Diese allein reichen jedoch nicht für einen Auftrag, weil für Bestellungen zusätzlich eine Wallet-Signatur erforderlich ist. Der Code sendet weder API-Keys, Passwörter noch Seed Phrases oder Private Keys an den eigenen Server; stattdessen sucht er im Seiteninhalt nach dem Teil, der Orders absetzt, sowie nach dem Signatur-Objekt, das Transaktionen freigibt. Je nach Authentifizierungsweg fährt der Code zwei unterschiedliche Pfade: Für Wallet-Login werden Positionen direkt zur Angreifer-Wallet umgeschichtet; bei E-Mail-Login werden Positionen in Schritten zu zunehmend ungünstigeren Preisen verkauft und erst danach das Geld abgezogen.
Entscheidend ist dabei, wie der Angreifer die Signaturfähigkeit im Browser orchestriert. Laut Hudson Rock prüft der Schadcode nicht im Sinne einer „Bestätigung im UI“ nach, ob der Nutzer tatsächlich ohne Prompt signiert hat, sondern fordert die Unterschrift über den eigenen Signer an und übergibt die resultierenden Requests an den Polymarket-Relayer, der die Aktionen anschließend einreicht. Aus Sicht der Wallet-Provider bleibt damit ein Ermessens- und Sicherheitsregime bestehen: Eine Wallet kann einen Signaturversuch ablehnen, den Nutzer erneut prompten oder session-spezifische Regeln anwenden. Die konkrete Auswertung eines betroffenen Angreifer-Wallets zeichnet dennoch ein schnelles Zeitfenster: Die Wallet erhielt ihre ersten Mittel um 17:10 UTC und zuletzt um 18:02 UTC, dabei sammelte sie 28,6 Millionen POL-Token und Positionen aus 33 Wallets. Bei einem DefiLlama-Preis von 0,0922 US-Dollar je POL entsprachen diese Token etwa 2,64 Millionen US-Dollar; anschließend leitete die Wallet die 28,6 Millionen POL zwischen 18:28 und 18:38 UTC an drei weitere Adressen weiter.
Polymarket hat nach eigenen Angaben sehr zügig eingegriffen: Das erste Status-Update zu unautorisierter Aktivität datiert auf 17:38 UTC; um 18:05 UTC soll der Austausch in „cancel-only“-Modus gegangen sein, während Relayer-Aktionen pausiert wurden. Die Plattform erklärt, das problematische Skript „innerhalb der Stunde“ entfernt zu haben. Zusätzlich wurden Caches geleert, aktive Login-Sitzungen zurückgesetzt und der Handel pausiert, bis die Seite wieder als sauber galt. Parallel wurde das Vorgehen an Strafverfolgungsbehörden übergeben. Bis zum 30. Oktober waren 689 von 726 betroffenen Wallets vollständig erstattet; die restlichen 37 Wallets erhielten Zahlungen im Zuge der Überprüfung. Darüber hinaus zahlt Polymarket 1,19 Millionen US-Dollar an rund 5.500 Wallets, die während der Handelsunterbrechung Verluste erlitten oder bei denen Positionen entzogen wurden – insgesamt sollen so 3,9 Millionen US-Dollar an Trader zurückfließen. Laut Angaben müssen Nutzer dafür keinen formellen Claim einreichen; eine Status-Seite verweist stattdessen auf ein Formular, falls jemand eine abweichende Summe erwartet.
Für Unternehmen und Trader ergibt sich aus der Analyse ein sehr konkreter Maßnahmenkatalog, der über „bessere Firewalls“ hinausgeht. DebugBear rät Kunden, ihr Embed-Setup zu entfernen und den Einbettungscode zu deaktivieren, und Polymarket kündigt zusätzliche Checks an, unter anderem eine stärkere Content Security Policy (CSP), fixierte Script-Versionen sowie Sandboxing. Hudson Rock empfiehlt auf Seiten von Websites mit Drittanbieter-Skripten: Unnötige Fremd-Codes sollten nicht auf Seiten geladen werden, auf denen Nutzer handeln oder Transaktionen signieren. Wo sich Dateien pinnen lassen, sollte Subresource Integrity (SRI) genutzt werden, damit der Browser geänderten Inhalt ablehnt. Wichtig ist dabei die Unterscheidung zwischen „trusted CDN zulassen“ und „tatsächlich gültigen Inhalt verifizieren“: Eine CSP, die nur den CDN-Domainnamen whitelistet, prüft nicht, ob das gelieferte Skript byte-identisch bleibt. Ebenso raten die Forschenden, genau zu prüfen, welche Signatur-Funktionen auf einer signierten Seite überhaupt abrufbar sind – denn gerade hier können Schadskripte in die Kontrolle über den Signaturprozess geraten, ohne sensible Schlüssel auszuleiten. Für Trader lautet die praktische Konsequenz: Signaturanfragen, die sie nicht erwarten, konsequent ablehnen, auch wenn die Seite scheinbar „normale“ Interaktionen anbietet.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Polymarket-Angriff: Über DebugBear-Code wurden 2,7 Mio. USD aus Wallets abgezogen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Polymarket-Angriff: Über DebugBear-Code wurden 2,7 Mio. USD aus Wallets abgezogen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Polymarket-Angriff: Über DebugBear-Code wurden 2,7 Mio. USD aus Wallets abgezogen« bei Google Deutschland suchen, bei Bing oder Google News!