Polymarket beschreibt den Vorfall in einer kurzen Mitteilung als Supply-Chain-Angriff auf eine Abhängigkeit seiner Website. Über einen Frontend-Dienstleister sei schädliches JavaScript eingebracht worden. Auf dieser Grundlage wurden Nutzer auf der offiziellen Website der Plattform dazu gebracht, betrügerische Transaktionen zu autorisieren.

Nach Darstellung des Unternehmens blieben die eigenen Server und die Backend-Systeme unberührt. Der Angriff zielte demnach auf die Darstellungsschicht der Website und nicht auf die Kerninfrastruktur. Weitere technische Einzelheiten nannte Polymarket zunächst nicht.

Die Plattform zählt zu den größten kryptobasierten Prognosemärkten weltweit. Nutzer handeln dort Kontrakte, deren Preise die kollektive Markterwartung über den Ausgang eines Ereignisses widerspiegeln. Angeboten werden Vorhersagen zu Sport, Wirtschaftsindikatoren, Wetterentwicklungen, Auszeichnungen, politischen und legislativen Entscheidungen sowie militärischen Konflikten.

Gegründet wurde Polymarket 2020. Das Unternehmen wird derzeit mit 9 Milliarden US-Dollar bewertet, verarbeitet ein Handelsvolumen in Milliardenhöhe und gilt als einflussreiche Quelle für Markterwartungen.

Zur Höhe des Schadens verweist Polymarket nicht auf eigene Zahlen. Unabhängige Blockchain-Intelligence-Firmen schätzen die Verluste jedoch auf rund 3 Millionen US-Dollar, die aus einer kleinen Zahl von Konten entwendet wurden. Polymarket kündigte an, betroffene Kunden vollständig zu entschädigen.

Nach Angaben der Blockchain-Sicherheitsfirma PeckShield war der Vorfall eine Phishing-Kampagne. Dabei seien Vermögenswerte im Wert von ungefähr 3 Millionen US-Dollar in ParyonUSD von Nutzern gestohlen worden. Die entwendeten Gelder seien anschließend von Polygon zu Ethereum transferiert und in etwa 1.893 Ether getauscht worden. PeckShield erklärte: „Der Angreifer hat die gestohlenen Gelder von Polygon nach Ethereum transferiert und in rund 1.893 Ether umgetauscht.“

Auch das Analyseunternehmen Bubblemaps äußerte sich zu dem Vorfall. Nach dessen visuellen Analysen waren weniger als 15 Konten betroffen. Bubblemaps veröffentlichte zudem eine Liste einiger betroffener Konten sowie der Wallets, in denen die gestohlenen Gelder lagen.

BleepingComputer teilte mit, Polymarket um weitere Informationen gebeten zu haben. Bis zur Veröffentlichung habe das Unternehmen darauf jedoch nicht geantwortet.