Der Handel auf Polymarkets internationaler Flaggschiff-Plattform ruhte am 29. Oktober für mehrere Stunden, nachdem Hacker Geld aus den Wallets von Händlern abgezogen hatten. Als er wieder anlief, war der Schaden auf X bereits sichtbar: prominente Händler mit leeren Kontoständen, und die Blockchain-Analysefirma Bubblemaps schätzte, dass rund 700 Nutzer zusammen etwa 2,7 Millionen Dollar verloren hatten.
Polymarkets Darstellung des Vorfalls zeigt weg vom eigenen Code. Ein Drittanbieter mit Sitz im Vereinigten Königreich sei kompromittiert worden, teilte das Unternehmen mit – nicht die Website des Prognosemarkts. Die britischen Strafverfolgungsbehörden wurden informiert. Wie viele Händler betroffen sind und wie viel abgezogen wurde, wollte Polymarket nicht sagen; man werde die betroffenen Nutzer entschädigen.
Die Trennung zwischen den beiden Produkten war hier entscheidend. Polymarket US, das in den Vereinigten Staaten als bundesrechtlich regulierte Finanzbörse operiert, war nicht betroffen. Leergeräumt wurde das kryptobasierte Flaggschiff, das in den USA und einer Reihe weiterer Länder verboten ist – der Handelsplatz, über den der Großteil des internationalen Volumens läuft.
Zum zweiten Mal in fünf Monaten
Unangenehm ist das Muster. Im Juni 2026 verloren Polymarket-Händler Geld bei einem Vorfall, der ebenfalls bei einem Drittanbieter begann: Ein kompromittierter Lieferant schleuste ein schädliches Skript in das Frontend ein, das manchen Nutzern ausgeliefert wurde, und Angreifer nutzten es, um diese Nutzer zur Freigabe betrügerischer Transaktionen zu bringen. Das Unternehmen bezifferte den Schaden damals auf über 2 Millionen Dollar; Bubblemaps und Cointelegraph nannten eher 2,9 Millionen Dollar bei weniger als 20 Konten. Polymarket erklärte damals, die Kompromittierung eingedämmt und die betroffene Abhängigkeit entfernt zu haben.
Fünf Monate später hat dieselbe Fehlerklasse – ein Lieferant innerhalb der Vertrauensgrenze, nicht die eigenen Verträge der Börse – einen weiteren Handelsstopp, weitere leergeräumte Wallets und ein weiteres Rückzahlungsversprechen erzeugt. Keiner der beiden Vorfälle verlangte, die Marktmechanik von Polymarket zu brechen. Beide verlangten nur, dass der Browser eines Nutzers etwas lädt, das die Plattform freigegeben hatte.
Warum eine Rückzahlung die Frage nicht schließt
An Kontrolle hat es Polymarket nie gefehlt. Das Unternehmen stand wiederholt im Zentrum von Vorwürfen des Insiderhandels – ein Soldat der Spezialkräfte, der auf die Ergreifung des früheren Anführers Venezuelas gewettet haben soll, und ein Google-Mitarbeiter, der mit vertraulichen Informationen Millionen verdient haben soll; beide plädierten auf nicht schuldig. Im August 2026 sammelte Polymarket 1 Milliarde Dollar ein, angeführt von 1789 Capital, der Wagniskapitalfirma, bei der Donald Trump Jr. Partner ist, und wird heute mit 21 Milliarden Dollar bewertet.
Diese Bewertung ruht auf einer bestimmten Behauptung: dass ein Prognosemarkt eine vertrauenswürdige Wahrscheinlichkeit erzeugt und der Preis das Produkt ist. Ein Händler, dem nach einem Vorfall erstattet wird, ist immer noch ein Händler, der zusah, wie sein Kontostand auf null fiel, während die Plattform nach eigener Beschreibung ermittelte. Rückzahlungen stellen Geld wieder her. Sie stellen nicht die Annahme wieder her, dass die Zahl auf dem Bildschirm sicher zu handeln ist, und sie sagen nichts über das Lieferantenmanagement, das nun zweimal versagt hat.
Was weiterhin unbekannt ist
Polymarket hat den britischen Dienstleister nicht genannt, nicht beschrieben, wie die Kompromittierung funktionierte, und nicht gesagt, ob dieser Vorfall denselben Mechanismus wie im Juni teilt. Das Unternehmen hat nicht gesagt, ob sich die beiden Produkte – die US-Börse und die internationale Plattform – Lieferanten teilen, was aus einem einzelnen Lieferantenausfall ein marktübergreifendes Risiko machen würde. Und es hat nicht gesagt, was sich über eine Rückzahlung hinaus daran ändert, wie Drittanbieter-Code in sein Frontend gelangt.
Bis diese Antworten vorliegen, ist die ehrliche Lesart eng: Der Handel läuft wieder, einige Nutzer wurden entschädigt, und eine Lieferkette, die nun zweimal gebrochen ist, wurde öffentlich nicht beschrieben.
