Was ist passiert?
Die Prognosemarkt-Plattform Polymarket hat laut der Website CryptoSlate innerhalb von vier Monaten einen zweiten Sicherheitsvorfall mit millionenschweren Auswirkungen erlebt. Laut derselben Quelle handelt es sich um zwei getrennte Fälle: Im Juni wurde ein Diebstahl gemeldet, im Oktober wurden die Mittel anschließend zurückgewonnen ("recovered code"). CryptoSlate schließt daraus, dass es sich um eine wiederkehrende Schwachstelle innerhalb der Handelsoberfläche der Plattform handelt.
Den Angriff auf Polymarket erwähnten als Eilmeldung auch Kryptonovinky.cz und Kryptonovinky.sk, die das Ereignis in einen breiteren Überblick über das Marktgeschehen einordneten.
Wichtiger Hinweis: Die genaue Schadenshöhe, die technische Beschreibung der Schwachstelle und die Identität des Angreifers sind in den verfügbaren Quellen nicht genannt. Diese Details bleiben vorerst unbekannt.
Handelt es sich um ein systemisches Problem oder um zwei voneinander unabhängige Ereignisse?
Hier gilt es, Fakten von Interpretation zu trennen. Tatsache ist, dass CryptoSlate zwei Vorfälle innerhalb eines Zeitfensters von vier Monaten meldet. Die Interpretation, die CryptoSlate anbietet, lautet, dass beide Ereignisse auf eine "wiederkehrende Exposition" innerhalb der Handelsoberfläche hindeuten.
Ob die beiden Fälle technisch zusammenhängen (gleicher Angriffsvektor, gleicher Fehler), geht aus den verfügbaren Quellen nicht hervor. Ebenso wenig ist bestätigt, welche konkreten Sicherheitsanpassungen Polymarket nach dem Juni-Vorfall vorgenommen hat. CryptoSlate gibt ausdrücklich an, dass die umfassenderen Sicherheitsänderungen unklar bleiben.
Was startet die Plattform in der Zwischenzeit?
Im selben Zeitraum erweitert Polymarket sein Produktangebot. Laut der Website The Defiant hat die Plattform fünfzehnminütige Wetten auf Gold und Silber hinzugefügt, die auf Preisdaten des Chainlink-Netzwerks basieren.
The Defiant beschreibt die Mechanik wie folgt:
| Parameter | Detail (laut The Defiant) |
|---|---|
| Vertragsart | 15-minütige Wetten auf Gold und Silber |
| Preisquelle | Chainlink (Start- und Endspotpreis) |
| Kosten für einen US-Taker | ca. 1,74 USD pro 100 Kontrakte, gehandelt bei 50 Cent |
| Anmerkung | vor Rabatten |
Der Begriff "Taker" bezeichnet die Seite, die ein bestehendes Angebot im Orderbuch annimmt (im Gegensatz zum "Maker", der Liquidität bereitstellt). Der "Spotpreis" ist der aktuelle Marktpreis des zugrunde liegenden Vermögenswerts.
Einen Zusammenhang zwischen dem Start neuer Produkte und den Sicherheitsvorfällen behauptet keine der Quellen. Wir führen beides getrennt auf.
Wie war zu dieser Zeit die Marktlage?
Kryptonovinky.cz und Kryptonovinky.sk ordneten die Meldung über Polymarket in den Kontext eines breiteren Markttages ein. Laut den Daten von CoinGecko, die beide Websites zitieren, wurde am Freitagmorgen gehandelt:
| Vermögenswert | Preis | Tagesveränderung | Wochenveränderung |
|---|---|---|---|
| Bitcoin | 78 186 USD | -2,07 % | -4,63 % |
| Ether | 2 238 USD | -3,11 % | -7,46 % |
Beide Websites verwiesen zudem auf Daten zu US-amerikanischen Spot-Bitcoin-ETFs von Farside Investors für Donnerstag, den 29. (der genaue Monat ist im verfügbaren Auszug nicht angegeben). Diese Marktdaten stehen mit dem Vorfall bei Polymarket in keinem direkten Zusammenhang, sie dienen lediglich der zeitlichen Einordnung.
Worauf sollte man bei dieser Art von Ereignissen achten?
Dies ist kein Ratschlag, was man mit Geld tun soll, sondern eine Orientierung, welche Informationen ein vollständigeres Bild ergeben:
- Offizielle Stellungnahme der Plattform. Ob Polymarket eine Post-mortem-Analyse mit technischer Beschreibung und konkreten Korrekturmaßnahmen veröffentlicht.
- Schadensumfang. Der bestätigte Betrag und die Frage, ob Endnutzer betroffen waren oder Mittel der Plattform.
- Ob es sich um denselben Vektor handelte. Bestätigung oder Widerlegung, dass der Juni- und der Oktober-Fall dieselbe Ursache teilen.
- On-Chain-Spur. Bei Vorfällen dieser Art sind Bewegungen der Mittel in der Regel auf der Blockchain nachverfolgbar, was eine unabhängige Überprüfung ermöglicht.
Sobald diese Informationen vorliegen, wird charliedesk auf den Fall zurückkommen und sie mit dem vergleichen, was heute bekannt ist.