Aanval op Polymarket via een externe dienstverlener: waar gebruikers nu op letten

Polymarket heeft op 29 oktober 2026 de handel op zijn internationale platform tijdelijk stilgelegd, nadat gebruikers onbevoegde opnames hadden gemeld. De aanval liep via een externe dienstverlener, via wie de aanvallers bij de accounts konden komen. De handelscontracten van het platform zelf bleven onaangetast. Het bedrijf heeft de handel dezelfde dag heropend en alle getroffenen een volledige vergoeding toegezegd.

Voor gebruikers in Nederland verschuift dit incident de vraag. De beslissende vraag is niet of een handelscontract op de blockchain netjes geprogrammeerd is. Belangrijker is hoeveel externe diensten op een handelssite meedraaien en wat er gebeurt als een van hen wordt overgenomen.

Wat er bij Polymarket gebeurde: een overgenomen dienstverlener in plaats van een programmeerfout

Polymarket is een voorspellingsmarkt: een handelsplatform waarop gebruikers aandelen kopen en verkopen op de uitkomst van toekomstige gebeurtenissen, waarbij de koers de ingeschatte kans weergeeft. De afwikkeling loopt via smart contracts, programma's op een blockchain die inzetten en uitbetalingen uitvoeren zonder een beherende partij.

Juist die programma's waren volgens het bedrijf niet het probleem. Aanvallers kregen in plaats daarvan toegang tot een aanbieder van wie het platform de code in zijn website had opgenomen. Wie zo'n dienst beheerst, kan veranderen wat de gebruiker in de browser ziet en bevestigt, zonder één regel van het handelscontract aan te raken.

Het bedrijf heeft de aanbieder niet genoemd. Persbureau Reuters noemt op basis van een niet genoemde bron een dienstverlener voor het meten van de snelheid van websites; Forbes beschrijft hem als platform voor het meten van websiteprestaties. Polymarket heeft deze toeschrijving niet bevestigd, en zolang dat niet gebeurt, blijft het informatie uit de tweede hand.

Zo'n 2,65 miljoen dollar in POL: de bandbreedte van de schadeschattingen

Een officieel cijfer is er niet. Polymarket zelf heeft geen schadebedrag en geen aantal getroffen accounts gepubliceerd. De cijfers van waarnemers lopen uiteen, en ze blijven hier als bandbreedte staan.

Analyses van onderzoeksbureau Arkham, die meerdere vakmedia overnemen, noemen zo'n 2,65 miljoen dollar, weggevloeid in POL, de token van het Polygon-netwerk waarop Polymarket afwikkelt. Datadienst DeFiLlama vermeldt net geen 2,7 miljoen dollar. Crypto Economy bericht over 2,65 miljoen dollar en de hervatting van de handel.

Nog verder uiteen lopen de cijfers over het aantal getroffenen. Eén bericht spreekt van zo'n 2,6 miljoen dollar verspreid over bijna 1.000 accounts, een ander van ongeveer 3 miljoen dollar uit minder dan 15 accounts. Beide tegelijk kunnen niet kloppen, en elke lezing leidt tot een andere duiding. Een brede uitstroom over honderden accounts wijst op een gemanipuleerde interface voor alle bezoekers, een smalle op een paar grote accounts. Welke lezing standhoudt, is op de ochtend van 30 oktober nog open.

Alleen-annuleren-modus: hoe de handel tijdelijk werd beperkt

Polymarket bracht de handel in een toestand waarin geen nieuwe orders meer konden worden opgegeven, maar bestaande wel konden worden geannuleerd. Een volledige stillegging was het dus niet. Deze alleen-annuleren-modus is op beurzen het gebruikelijke middel bij een storing: hij bevriest de instroom en laat tegelijk iedereen eruit die eruit wil.

De duur wordt verschillend opgegeven, van ongeveer een halfuur tot een langere onderbreking in de middag. Vast staat dat het platform dezelfde dag weer draaide en dat het bedrijf alle systemen als operationeel meldde, terwijl het onderzoek doorloopt.

Vergoeding en strafvervolging: wat het bedrijf heeft toegezegd

Polymarket heeft verklaard het probleem te hebben opgelost en alle getroffen handelaren volledig te vergoeden. Volgens Reuters, dat Forbes aanhaalt, heeft het bedrijf de zaak overgedragen aan de Britse opsporingsdiensten.

Een toezegging is nog geen betaling. Wie getroffen is, heeft tegenover een platform zonder vergunning in de Europese Unie geen aanspraak die een Europese toezichthouder zou afdwingen. Het enige betrouwbare bewijs blijft de eigen administratie: het tijdstip van de onbevoegde opname, het transactiekenmerk op de blockchain en de correspondentie met de aanbieder.

Het derde incident sinds het voorjaar: het patroon van de toegangen

Het geval staat niet op zichzelf. cryptoticker.io berichtte op 28 juni 2026 over een incident bij hetzelfde platform waarbij volgens de toenmalige stand zo'n 3,1 miljoen dollar wegvloeide. Ook toen was een leverancier het startpunt.

Dat is de eigenlijke bevinding: de aanvallen komen al maanden via de toegangen rond het platform, niet via de kern. Interface, API en ingesloten externe diensten zijn de zachte laag boven een harde afwikkeling.

Externe dienstverleners als toegangspoort: waarom vreemde code op een handelssite meedraait

Bijna elke grotere handelssite sluit diensten in die ze niet zelf beheert: foutlogboeken, laadtijdmeting, gebruiksstatistieken, chatvensters, betaalmodules. Elk van die diensten levert code die in de browser van de gebruiker draait met dezelfde rechten als de site zelf.

Deze aanvalsroute heeft een naam: supply-chain-aanval, een aanval niet op het doelwit, maar op een van zijn leveranciers. Hij is aantrekkelijk omdat één overgenomen aanbieder de aanvaller tegelijk toegang geeft tot tientallen sites, en hij is voor de gebruiker praktisch onzichtbaar: adresbalk, certificaat en merkuitstraling blijven ongewijzigd.

De parallel in ons eigen archief ligt voor de hand. Bij een datalek bij een dienstverlener van Coinbase eind oktober 2026 bleven de tegoeden onaangetast; getroffen waren contactgegevens die vervolgens bruikbaar waren voor phishing. Het patroon is hetzelfde: aangevallen werd de leverancier van de exchange.

Voorspellingsmarkten en de EU-vergunning: het kader voor gebruikers

Voorspellingsmarkten bewegen zich in Europa in een onduidelijk gebied. Afhankelijk van de vormgeving vallen ze onder financiële instrumenten, onder kansspelen of onder geen van beide categorieën, en die indeling bepaalt welke toezichthouder überhaupt bevoegd zou zijn. Een vergunning onder de EU-verordening over markten in cryptoactiva, kortweg MiCA, dekt de handel in cryptoactiva, niet automatisch weddenschappen op gebeurtenissen.

In de praktijk betekent dat: wie via een niet in de EU vergund platform handelt, draagt het faillissementsrisico zelf. Het depositogarantiestelsel dat bij een bank tot 100.000 euro geldt, bestaat hier niet, en een melding bij de AFM over een aanbieder zonder Europese vergunning leidt niet tot een afdwingbaar resultaat. Wie in plaats daarvan via een in de EU vergunde aanbieder handelt, heeft bij een geschil in elk geval een toezichthouder achter zich.

Tegoed op een platform: bewaring en handelsaccount zijn niet hetzelfde

Het verschil bepaalt in zo'n geval de schade. Staat een tegoed op een handelsaccount, dan beheert de aanbieder de sleutels en houdt hij intern de aanspraak bij. Staat het in een eigen wallet, een programma of apparaat dat de privésleutel zelf bewaart, dan blijft de beschikking bij de eigenaar.

Bij Polymarket koppelen gebruikers doorgaans een eigen wallet aan het platform. Dat is de betere weg, maar niet de veilige weg, want een koppeling is een toestemming. Wie die eenmaal verleent, laat een applicatie in zekere mate over zijn middelen beschikken, en precies die toestemming is het doelwit als de interface wordt gemanipuleerd. Welke apparaten de sleutel buiten de browser houden en wat dat kost, laat de vergelijking van hardware wallets zien.

Toestemmingen bij een walletkoppeling: waar een externe dienstverlener aangrijpt

Een walletkoppeling omvat in de praktijk meer dan het tonen van een saldo. Daartoe horen toestemmingen voor afzonderlijke tokens, zogeheten approvals, waarmee een contract een bepaalde hoeveelheid van een token mag verplaatsen, vaak zonder bovengrens en zonder vervaldatum.

Een onbeperkte toestemming van vorig jaar werkt vandaag nog. De belangrijkste stap na zo'n incident is daarom het intrekken van oude toestemmingen, nog vóór het opnemen van het tegoed. Wie dat nooit heeft gedaan, sleept doorgaans een dozijn open toestemmingen met zich mee, waarvan hij de meeste is vergeten.

Hefboom en liquidatie: wat een handelsstop bij open posities betekent

Een transactie met hefboom betekent dat een handelaar met geleend geld een grotere positie aanhoudt dan zijn inleg dekt; beweegt de koers voorbij een bepaalde drempel, dan wordt de positie gedwongen gesloten. Dat punt heet liquidatie.

Een handelsstop treft hier dubbel. Wie niet kan bijstorten en niet kan verkopen terwijl de markt beweegt, verliest de controle over de eigen inleg. Op voorspellingsmarkten lopen de posities meestal zonder hefboom. Bij derivatenbeurzen is dat anders, en daar is een alleen-annuleren-modus het verschil tussen een verliesbeperking en een gedwongen sluiting tegen de slechtste koers. Wie met hefboom handelt, doet er goed aan te weten welke regels zijn aanbieder schriftelijk heeft vastgelegd voor storingen.

Hoe een diefstal of een vergoeding in Nederland fiscaal meetelt, lees je in onze gids over crypto en belasting.

Polymarket: vergoeding toegezegd, het risico blijft de toegang

Het platform handelt weer, en de toezegging van een volledige vergoeding is meer dan gebruikers na veel incidenten van deze soort krijgen. Toch heeft het incident laten zien waar de zwakke plek zit, en die zit niet waar de meesten haar vermoeden. Drie dingen zijn nu zinvol:

1. Toestemmingen intrekken. Trek oude, onbeperkte tokentoestemmingen voor handelsplatforms in, ook voor platforms die je niet meer gebruikt. Veel softwarewallets hebben daar een overzicht voor ingebouwd.
2. Handelstegoed en bezit scheiden. Laat alleen het bedrag op het platform staan dat je actief gebruikt, en breng de rest naar een eigen bewaring. Een gereguleerde aanbieder vervangt daarbij niet de eigen wallet; het is alleen de weg met een toezichthouder erachter.
3. Het voorval vastleggen. Bewaar transactiekenmerken, tijdstippen en de correspondentie voordat er een vergoeding komt, omdat de fiscale beoordeling beide nodig heeft; meer daarover in onze gids over crypto en belasting.

(Per 30 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)