Polymarket-Angriff über einen Dienstleister: Worauf Nutzer jetzt achten sollten

Polymarket hat am 29. Oktober 2026 den Handel auf seiner internationalen Plattform vorübergehend angehalten, nachdem Nutzer unberechtigte Abhebungen gemeldet hatten. Der Angriff lief über einen externen Dienstleister, über den Angreifer an die Konten herankamen. Die Handelsverträge der Plattform selbst blieben unberührt. Das Unternehmen hat den Handel am selben Tag wieder geöffnet und allen Betroffenen eine vollständige Entschädigung zugesagt.

Für Nutzer in Deutschland verschiebt dieser Vorfall die Frage. Die entscheidende Frage lautet nicht, ob ein Handelsvertrag auf der Blockchain sauber programmiert ist. Wichtiger ist, wie viele fremde Dienste auf einer Handelsseite mitlaufen und was geschieht, wenn einer von ihnen übernommen wird.

Was bei Polymarket geschah: ein übernommener Dienstleister statt eines Programmfehlers

Polymarket ist ein Prognosemarkt: eine Handelsplattform, auf der Nutzer Anteile auf den Ausgang künftiger Ereignisse kaufen und verkaufen, deren Kurs die eingeschätzte Wahrscheinlichkeit abbildet. Die Abwicklung läuft über Smart Contracts, also über Programme auf einer Blockchain, die Einsätze und Auszahlungen ohne eine verwaltende Stelle ausführen.

Genau diese Programme waren nach Darstellung des Unternehmens nicht das Problem. Angreifer bekamen stattdessen Zugriff auf einen Anbieter, dessen Code die Plattform in ihre Website eingebunden hatte. Wer einen solchen Dienst kontrolliert, kann das verändern, was der Nutzer im Browser sieht und bestätigt, ohne eine einzige Zeile des Handelsvertrags anzufassen.

Das Unternehmen hat den Anbieter nicht benannt. Die Nachrichtenagentur Reuters nennt unter Berufung auf eine nicht genannte Quelle einen Dienstleister für die Überwachung der Website-Geschwindigkeit; Forbes beschreibt ihn als Plattform für Website-Leistungsmessung. Bestätigt ist diese Zuordnung von Polymarket nicht, und solange sie es nicht ist, bleibt sie eine Angabe aus zweiter Hand.

Rund 2,65 Millionen Dollar in POL: die Spanne der Schadensangaben

Eine amtliche Zahl gibt es nicht. Polymarket selbst hat weder eine Schadenshöhe noch eine Zahl betroffener Konten veröffentlicht. Die Angaben der Beobachter liegen auseinander, und sie bleiben hier als Spanne stehen.

Auswertungen des Analysehauses Arkham, die mehrere Fachmedien aufgreifen, nennen rund 2,65 Millionen Dollar, abgeflossen in POL, dem Token des Polygon-Netzwerks, über das Polymarket abwickelt. Der Datendienst DeFiLlama führt knapp 2,7 Millionen Dollar. Crypto Economy berichtet von 2,65 Millionen Dollar und der Wiederaufnahme des Handels.

Noch weiter auseinander liegen die Angaben zur Zahl der Betroffenen. Ein Bericht spricht von rund 2,6 Millionen Dollar über fast 1.000 Konten, ein anderer von etwa 3 Millionen Dollar aus weniger als 15 Konten. Beides zugleich kann nicht stimmen, und beide Lesarten führen zu einer anderen Deutung: Ein breiter Abfluss über hunderte Konten deutet auf eine manipulierte Oberfläche für alle Besucher, ein schmaler auf wenige große Konten. Welche Lesart trägt, ist am Morgen des 30. Oktober offen.

Nur-Löschen-Modus: wie der Handel vorübergehend verengt wurde

Polymarket hat den Handel in einen Zustand versetzt, in dem sich keine neuen Aufträge mehr aufgeben, bestehende aber löschen ließen. Eine vollständige Abschaltung war es damit nicht. Dieser Nur-Löschen-Modus ist an Börsen das übliche Mittel in einer Störung: Er friert den Zufluss ein und lässt gleichzeitig jeden heraus, der heraus will.

Die Dauer wird unterschiedlich angegeben, von etwa einer halben Stunde bis zu einer längeren Unterbrechung am Nachmittag. Fest steht, dass die Plattform am selben Tag wieder lief und das Unternehmen alle Systeme als betriebsbereit meldete, während die Untersuchung weiterläuft.

Entschädigung und Strafverfolgung: was das Unternehmen zugesagt hat

Polymarket hat erklärt, das Problem behoben zu haben und alle betroffenen Händler vollständig zu entschädigen. Nach Angaben von Reuters, die Forbes wiedergibt, hat das Unternehmen den Fall der britischen Strafverfolgung übergeben.

Eine Zusage ist noch keine Zahlung. Wer betroffen ist, hat gegenüber einer Plattform ohne Zulassung in der Europäischen Union keinen Anspruch, den eine deutsche Aufsicht durchsetzen würde. Der einzige belastbare Nachweis bleibt die eigene Aufzeichnung: der Zeitpunkt der unberechtigten Abhebung, die Transaktionskennung auf der Blockchain und der Schriftwechsel mit dem Anbieter.

Der dritte Vorfall seit dem Frühjahr: das Muster der Zugänge

Der Fall steht nicht allein. cryptoticker.io hat am 28. Juni 2026 über einen Vorfall bei derselben Plattform berichtet, bei dem nach damaligem Stand rund 3,1 Millionen Dollar abflossen; die Einordnung von damals steht in unserem Bericht zum Polymarket-Hack und dem Sicherheitsrisiko von Prognosemärkten. Auch dort war ein Zulieferer der Ausgangspunkt.

Das ist der eigentliche Befund: Die Angriffe kommen seit Monaten über die Zugänge rund um die Plattform, nicht über ihren Kern. Oberfläche, Schnittstelle und eingebundene Fremddienste sind die weiche Schicht über einer harten Abwicklung.

Drittanbieter als Einfallstor: warum fremder Code auf einer Handelsseite mitläuft

Fast jede größere Handelsseite bindet Dienste ein, die sie nicht selbst betreibt. Fehlerprotokolle, Ladezeitmessung, Nutzungsstatistik, Chat-Fenster, Zahlungsmodule. Jeder dieser Dienste liefert Code, der im Browser des Nutzers mit denselben Rechten läuft wie die Seite selbst.

Dieser Angriffsweg hat einen Namen: Supply-Chain-Angriff, also ein Angriff nicht auf das Ziel, sondern auf einen seiner Lieferanten. Er ist deshalb attraktiv, weil ein einziger übernommener Anbieter den Angreifer auf dutzende Seiten gleichzeitig bringt, und er ist für den Nutzer praktisch unsichtbar: Adresszeile, Zertifikat und Markenbild bleiben unverändert.

Die Parallele im eigenen Bestand liegt nahe. Bei einem Datenleck eines Coinbase-Dienstleisters Ende Oktober 2026 blieben die Guthaben unberührt; betroffen waren Kontaktdaten, die anschließend für Phishing taugten. Das Muster ist dasselbe: Angegriffen wurde der Zulieferer der Börse.

Prognosemärkte und die EU-Zulassung: der Rahmen für Nutzer in Deutschland

Prognosemärkte bewegen sich in Europa in einem ungeklärten Feld. Je nach Ausgestaltung fallen sie unter Finanzinstrumente, unter Glücksspiel oder unter keine der beiden Kategorien, und diese Einordnung entscheidet, welche Aufsicht überhaupt zuständig wäre. Eine Zulassung nach der EU-Verordnung über Märkte für Kryptowerte, kurz MiCA, deckt den Handel mit Kryptowerten ab, nicht automatisch Wetten auf Ereignisse.

Praktisch heißt das: Wer über eine nicht in der EU zugelassene Plattform handelt, trägt das Ausfallrisiko selbst. Die Einlagensicherung, die bei einer Bank bis 100.000 Euro greift, gibt es hier nicht, und eine Beschwerde bei der BaFin führt gegen einen Anbieter ohne deutsche Zulassung zu keinem durchsetzbaren Ergebnis. Wer stattdessen über einen in der EU zugelassenen Anbieter handelt, hat im Streitfall wenigstens eine Aufsicht hinter sich.

Guthaben auf einer Plattform: Verwahrung und Handelskonto sind nicht dasselbe

Der Unterschied entscheidet in einem solchen Fall über den Schaden. Liegt ein Guthaben auf einem Handelskonto, hält der Anbieter die Schlüssel und führt intern Buch über den Anspruch. Liegt es in einer eigenen Wallet, also einem Programm oder Gerät, das den privaten Schlüssel selbst verwahrt, bleibt die Verfügung beim Besitzer.

Bei Polymarket verbinden Nutzer typischerweise eine eigene Wallet mit der Plattform. Das ist der bessere Weg, aber er ist nicht der sichere Weg, denn eine Verbindung ist eine Erlaubnis. Wer sie einmal erteilt, lässt eine Anwendung in gewissem Umfang über seine Mittel verfügen, und genau diese Erlaubnis ist das Ziel, wenn die Oberfläche manipuliert wird. Welche Geräte den Schlüssel außerhalb des Browsers halten und was das kostet, zeigt der Vergleich der Hardware-Wallets.

Berechtigungen einer Wallet-Verbindung: wo ein Drittanbieter ansetzt

Eine Wallet-Verbindung umfasst in der Praxis mehr als das Anzeigen eines Kontostands. Dazu gehören Freigaben für einzelne Token, sogenannte Approvals, mit denen ein Vertrag eine bestimmte Menge eines Tokens bewegen darf, oft ohne Obergrenze und ohne Ablaufdatum.

Eine unbegrenzte Freigabe aus dem vergangenen Jahr wirkt heute noch. Der wichtigste Schritt nach einem solchen Vorfall ist deshalb das Zurücknehmen alter Freigaben, noch vor dem Abziehen des Guthabens. Wer das nie getan hat, trägt in der Regel ein Dutzend offener Erlaubnisse mit sich herum, von denen er die meisten vergessen hat.

Hebel und Liquidation: was ein Handelsstopp bei offenen Positionen bedeutet

Ein gehebeltes Geschäft bedeutet, dass ein Händler mit geliehenem Geld eine größere Position hält, als sein Einsatz deckt; fällt der Kurs über eine bestimmte Schwelle, wird die Position zwangsweise geschlossen. Diesen Punkt nennt man Liquidation.

Ein Handelsstopp greift hier doppelt. Wer nicht nachschießen und nicht verkaufen kann, während sich der Markt bewegt, verliert die Steuerung über den eigenen Einsatz. Auf Prognosemärkten laufen die Positionen meist ohne Hebel, bei Derivatebörsen ist das anders, und dort ist ein Nur-Löschen-Modus der Unterschied zwischen einer Verlustbegrenzung und einer Zwangsschließung zum schlechtesten Kurs. Wer gehebelt handelt, sollte wissen, welche Ausfallregeln sein Anbieter für Störungen schriftlich festgelegt hat.

Haltefrist und Steuer: was eine Entschädigungszahlung in Deutschland auslöst

Steuerlich ist der Fall unbequem, weil er mehrere Vorgänge mischt. Ein Diebstahl von Kryptowerten ist nach überwiegender Auffassung kein Verkauf und löst damit keinen steuerbaren Gewinn aus; ob ein Verlust geltend gemacht werden kann, ist strittig und hängt am Einzelfall.

Eine Entschädigung, die ein Anbieter freiwillig leistet, kann dagegen als Rückfluss gewertet werden, und wird sie in einem anderen Token gezahlt als dem verlorenen, liegt darin ein Tauschvorgang mit eigener Haltefrist. Die einjährige Haltefrist für private Veräußerungsgeschäfte beginnt für den zugeflossenen Betrag neu. Für die Unterlagen heißt das: Datum und Höhe des Abflusses, Datum und Form der Entschädigung, beides getrennt dokumentiert. Das ist keine steuerliche Beratung, und bei größeren Beträgen gehört der Vorgang in fachkundige Hände.

Polymarket: Entschädigung zugesagt, das Risiko bleibt der Zugang

Die Plattform handelt wieder, und die Zusage einer vollständigen Entschädigung ist mehr, als Nutzer nach vielen Vorfällen dieser Art bekommen. Der Vorfall hat trotzdem gezeigt, wo die Schwachstelle liegt, und sie liegt nicht dort, wo die meisten sie vermuten. Drei Dinge sind jetzt sinnvoll:

1. Freigaben zurücknehmen. Alte, unbegrenzte Token-Freigaben für Handelsplattformen widerrufen, auch für Plattformen, die du nicht mehr nutzt. Welche Software-Wallets diese Übersicht eingebaut haben, steht im Vergleich der Software-Wallets.
2. Handelsguthaben und Bestand trennen. Nur den Betrag auf der Plattform lassen, den du aktiv bewegst, und den Rest in eine eigene Verwahrung bringen. Eine regulierte Börse ersetzt dabei nicht die eigene Wallet, sie ist nur der Weg mit einer Aufsicht dahinter.
3. Den Vorgang festhalten. Transaktionskennungen, Zeitpunkte und den Schriftwechsel sichern, bevor eine Entschädigung kommt, weil die steuerliche Einordnung beides braucht. Ein Steuer-Tool mit Portfolio-Übersicht hält die Zeitpunkte nachvollziehbar fest.

(Stand: 30. Oktober 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)