Polymarket ist der weltweit größte Vorhersagemarkt und zieht täglich Millionen von Dollar an Handelsvolumen an. Mit dieser Größe kommt auch eine wachsende Zielscheibe für Betrüger, Hacker und Social-Engineering-Angreifer. Ein gehacktes Konto bedeutet nicht nur Geldverlust: Es kann zur unbefugten Teilnahme an Abstimmungen führen, zu manipulierten Handelsmustern, die die Plattform selbst destabilisieren, und zu finanziellen und regulatorischen Folgen für den Nutzer. Die zentrale Frage lautet daher nicht, ob Hacking auf Polymarket stattfindet, sondern unter welchen Bedingungen es stattfindet und welche Mechanismen das Risiko tatsächlich reduzieren.

Die verfügbaren Daten deuten auf ein differenziertes Bild hin. Polymarket selbst erleidet keine groß angekündigten Datenverletzungen auf der Plattformebene, wie sie bei zentralisierten Börsen vorkommen. Die meisten Kontoübernahmen entstehen nicht durch Schwachstellen in Polymarkets eigener Infrastruktur, sondern durch Schwächen in der Nutzerkette: Phishing-Angriffe, wiederverwendete Passwörter, kompromittierte E-Mail-Adressen und fahrlässige Wallet-Verwaltung. Wer versteht, wie diese Angriffe funktionieren und welche Authentifizierungsmethoden welche Risiken mit sich bringen, kann sein Konto deutlich besser schützen als durch bloße Hoffnung.

Die reale Häufigkeit von Kontoübernahmen auf Polymarket

Polymarket veröffentlicht keine öffentlichen Statistiken über die Häufigkeit von Kontoübernahmen oder Sicherheitsvorfällen. Das ist typisch für Plattformen, die Verbrauchervertrauen bewahren wollen. Indirekte Daten stammen jedoch aus mehreren Quellen: Community-Diskussionen auf Twitter, Reddit und Discord, Berichte von Sicherheitsforschern, die die Plattform analysieren, und Muster in öffentlich verfügbaren Blockchain-Daten, da Polymarket auf der Polygon-Blockchain (Chain ID 137) ausgeführt wird. Aus diesen Quellen lässt sich folgendes ableiten: Die Mehrheit der Kontoübernahmen betrifft Nutzer mit schwachen oder wiederverwendeten Passwörtern, Benutzer, die Phishing-Links geklickt haben, oder Benutzer, deren E-Mail-Adressen zuvor bei anderen Diensten kompromittiert wurden.

Ein kritischer Befund ist, dass Phishing die dominante Angriffsmethode ist, nicht das Brechen von Polymarkets eigenen Sicherheitssystemen. Angreifer erstellen gefälschte Domains wie „polymarket.co”, „poly-market.com” oder „polymarkets.app” und versenden E-Mails oder Social-Media-Nachrichten mit dringender Aufforderung zum Handeln – etwa „Heben Sie Ihre eingesperrten Gewinne ab” oder „Überprüfen Sie Ihre Kontoverifizierung”. Wenn ein Nutzer sich bei diesen gefälschten Domains anmeldet, werden seine Anmeldedaten sofort erfasst. Sind diese Anmeldedaten mit derselben E-Mail und demselben Passwort auch bei anderen Diensten verwendet worden, kann der Angreifer auf mehreren Plattformen eindringen, nicht nur auf Polymarket.

Die zweite häufige Angriffsmethode betrifft Wallet-basierte Authentifizierung. Wenn ein Nutzer seine MetaMask-, Rabby-, Phantom- oder andere WalletConnect-kompatible Wallet zur Anmeldung bei Polymarket einsetzt, autorisiert er die Verbindung zwischen Wallet und Website. Phishing-Websites können Nutzer auch dazu verleiten, diese Verbindung zu bestätigen, während sie tatsächlich eine bösartige Verbindung genehmigen. Alternativ kann Malware auf dem Gerät des Nutzers die Wallet selbst kompromittieren. In beiden Fällen kann der Angreifer dann auf das mit dieser Wallet verknüpfte Polymarket-Konto zugreifen und die EIP-712-Nachrichtensignatur verwenden, um Transaktionen zu genehmigen, ohne dass eine Blockchain-Token-Übertragung erforderlich ist.

Ein drittes Muster betrifft E-Mail-Konten. Wenn ein Nutzer die passwordlose Anmeldung per Magic Code nutzt, ist sein E-Mail-Konto das einzige Tor zu Polymarket. Ein Angreifer, der die E-Mail-Adresse kompromittiert – etwa durch ein Datenleck bei einem E-Mail-Dienst, einen aufgezwungenen Passwortänderung oder Zugriff auf die Wiederherstellungs-SMS – kann jederzeit einen Magic Code anfordern und sich anmelden. Die Häufigkeit dieses Vorfalls steigt mit der Verbreitung von Datenleaks und der sinkenden Zahl von Menschen, die eindeutige, komplexe Passwörter für E-Mail-Konten verwenden.

Warum Phishing bei Vorhersagemärkten so effektiv ist

Vorhersagemärkte schaffen psychologische Bedingungen, die Phishing begünstigen. Das Merkmal, das Polymarket attraktiv macht – die Möglichkeit, schnell auf aktuelle Ereignisse zu wetten – erzeugt auch ein Gefühl der Dringlichkeit. Ein Nutzer, der liest, dass ein großes politisches oder kryptografisches Ereignis unmittelbar bevorsteht und dass er bei Verzögerung eine profitable Position verlieren könnte, kann impulsiv einen Link klicken, ohne die URL genau zu prüfen. Phishing-E-Mails nutzen genau diese Urgenz. Sie sagen etwa: „Ihr Konto wurde wegen verdächtiger Aktivität gesperrt. Melden Sie sich sofort an, um es freizuschalten” oder „Gewinne einfrieren in 2 Stunden – überprüfen Sie jetzt”. Wenn die gefälschte Website das Design und die Nachrichtentext von Polymarket imitiert, kann die Täuschung überzeugend sein.

Ein zweiter Grund ist der finanzielle Anreiz. Ein gehacktes Polymarket-Konto mit, sagen wir, 50.000 Dollar bietet dem Angreifer einen klaren unmittelbaren Gewinn: Er kann die Positionen schließen und die Mittel über eine Brücke in eine andere Blockchain übertragen oder in eine neue Wallet konvertieren, bevor der Besitzer es bemerkt. Im Gegensatz zu einem Social-Media-Konto, bei dem der Wert viel kleiner ist, lohnt sich die Anstrengung. Dies macht Polymarket zu einem attraktiveren Ziel als viele andere Online-Dienste.

Ein dritter Grund ist die Anonymität und die Geschwindigkeit der Blockchain. Wenn der Angreifer die gehackten Mittel über Polygon bewegt, hinterlässt er eine öffentliche Spur in der Blockchain, aber diese Spur ist nicht sofort an die Identität des Angreifers gebunden. Mit technischen Mitteln und dezentralisierten Börsen kann Geld schnell gewaschen, gemischt oder in andere Chains gebrückt werden. Dies reduziert das praktische Risiko einer Verfolgung und erhöht den wahrgenommenen Gewinn.

Ein viertes Merkmal ist, dass viele Phishing-Angriffe automatisiert sind. Nicht ein einzelner Hacker erstellt jede gefälschte Domain von Hand. Angriffsbanden nutzen Phishing-Kits – vorgefertigte HTML-Vorlagen, automatisierte Mailing-Listen und Skripte – um hunderte oder tausende von Seiten zu erstellen und E-Mails zu versenden. Die Erfolgsteuer kann niedrig sein – etwa 1 bis 3 Prozent der Empfänger fallen auf die Täuschung herein – doch bei Millionen von Mails ergibt dies hunderte oder tausende von gehackten Konten. Der Aufwand ist gering im Vergleich zur potenziellen Belohnung.

Die Rolle der Authentifizierungsmethode im Risikoprofil

Polymarket bietet drei Authentifizierungsmethoden, und jede hat ein unterschiedliches Sicherheitsprofil. Die Google OAuth-Methode – die „schnellste für Anfänger” – delegiert die Authentifizierung an Google. Wenn ein Nutzer diese Methode nutzt, muss Google seine Identität bestätigen; Polymarket empfängt ein Token, ohne das Passwort direkt zu sehen. Dies reduziert das Risiko, dass Polymarket das Passwort speichert oder übertragen wird, aber es verlagert das Vertrauen auf Google. Wenn Google’s Account selbst kompromittiert ist, ist auch das Polymarket-Konto gefährdet. Eine zweite Schicht – die Zwei-Faktor-Authentifizierung (2FA) bei Google – kann dies erschweren, aber nicht alle Nutzer aktivieren sie.

Die Magic-Code-Methode – passwordlose E-Mail-Authentifizierung – erfordert keinen Passwort-Speicher. Der Nutzer fordert einen Code an, Polymarket sendet diesen Code an die E-Mail-Adresse, und der Nutzer gibt den Code ein. Dies kann bequemer sein, aber es zentralisiert das Risiko vollständig auf das E-Mail-Konto. Wenn dieses Konto kompromittiert ist oder wenn ein Angreifer eine SIM-Swap-Angriff auf die mit der E-Mail verknüpfte Telefonnummer durchführt, kann er einen Magic Code anfordern und sich anmelden. Die Sicherheit dieser Methode hängt stark davon ab, wie gut der Nutzer sein E-Mail-Konto selbst schützt – ein Faktor, der außerhalb von Polymarkets Kontrolle liegt.

Die Wallet-basierte Authentifizierung – MetaMask, Rabby, Phantom oder WalletConnect-kompatible Apps – nutzt kryptografisches Signieren. Der Nutzer signiert eine EIP-712-Nachricht mit seiner Wallet, um zu beweisen, dass er die Kontrolle über die mit dieser Wallet verknüpften privaten Schlüssel hat. Dies erfordert keine Passwort-Speicherung bei Polymarket und keine Abhängigkeit von E-Mail oder anderen dritten Diensten. Die Polymarket security in dieser Methode ist theoretisch stark: Ein Angreifer müsste Zugriff auf die Wallet selbst haben, nicht nur auf Passwörter oder E-Mail-Adressen. In der Praxis jedoch verlassen sich viele Nutzer auf Browser-Erweiterungen oder Mobiltelefon-Apps zur Verwaltung ihrer Wallets, und diese sind anfällig für Malware, Browser-Exploitation und Social Engineering.

Ein wichtiges Detail ist, dass EIP-712-Signieren keine Token-Übertragung erfordert. Ein Angreifer kann sich mit einer gehackten Wallet bei Polymarket anmelden und Positionen handeln, ohne dass Geld die Wallet verlässt – bis der Angreifer das Geld abheben möchte. Dies kann die Entdeckung verzögern. Der legitime Besitzer könnte sein Konto noch Stunden lang überwacht sehen, ohne unmittelbar zu bemerken, dass es kompromittiert ist, weil er vielleicht nicht in Echtzeit alle Transaktionen überwacht.

Erkennbare Angriffsmuster und ihre Häufigkeit

Obwohl Polymarket keine detaillierten öffentlichen Sicherheitsberichte veröffentlicht, können wir aus Community-Berichten und Blockchain-Daten mehrere wiederkehrende Muster erkennen. Das erste Muster ist die Welle von Phishing-E-Mails unmittelbar nach großen politischen oder kryptografischen Ereignissen – etwa nach Wahlen, regulatorischen Ankündigungen oder starken Preisbewegungen bei Kryptowährungen. Diese Ereignisse treiben die Marktaktivität auf Polymarket in die Höhe, und Angreifer nutzen diese Aufmerksamkeit aus, um Tausende von Phishing-E-Mails zu versenden. Nutzer, die bereits emotional erregt sind und auf den Märkten aktiv sein möchten, sind weniger wachsam.

Das zweite Muster sind Social-Engineering-Angriffe auf Discord und Twitter. Ein Angreifer erstellt ein Bot-Konto oder posiert als Polymarket-Support und sendet Direktnachrichten an Nutzer, die sich über Probleme beschweren – etwa verzögerte Abhebungen oder KYC-Probleme (Know Your Customer). Der Angreifer bietet an zu „helfen”, fordert aber den Nutzer auf, seinen privaten Schlüssel, seinen Seed-Phrase oder seinen Magic Link zu teilen. Dies ist eine klassische Social-Engineering-Taktik, aber sie ist wirksam, weil Nutzer, die frustriert sind, eher Vorsichtsmaßnahmen übersehen.

Das dritte Muster ist der Einsatz von gefälschten mobilen Apps. Ein Angreifer erstellt eine Android- oder iOS-App, die wie Polymarket aussieht, und lädt sie in einen inoffiziellen App Store hoch oder verbreitet sie über Links. Wenn Nutzer die gefälschte App herunterladen und sich anmelden, werden ihre Anmeldedaten erfasst. Manche dieser Apps fügen auch Malware ein, um auf andere Apps auf dem Gerät zuzugreifen, einschließlich Wallet-Apps. Dies ist besonders effektiv, weil mobile Nutzer weniger geneigt sind, URLs genau zu prüfen.

Das vierte Muster betrifft Datenlecks bei Drittanbietern, die nicht Polymarket selbst sind. Ein Nutzer verwendet die gleiche E-Mail-Adresse und das gleiche Passwort auf Polymarket und auf einem Newsletter-Dienst, einer Nachrichtenseite oder einem Sportwetten-Dienst. Dieser dritte Dienst wird gehackt, und die E-Mail-Passwort-Kombination wird in einer öffentlich verfügbaren Datenbank veröffentlicht. Ein Angreifer lädt diese Datenbank herunter, versucht, jede Kombination bei Polymarket zu verwenden, und erhält Zugriff auf Konten, deren Nutzer wiederverwendete Passwörter haben. Dies ist nicht direkt Polymarkets Schuld, aber es unterstreicht, wie kritisch die Passwort-Hygiene ist.

Schätzung der Inzidenzrate und der Dunkelziffer

Wie häufig sind Kontoübernahmen? Eine genaue Zahl ist nicht verfügbar, aber wir können grobe Schätzungen machen. Polymarket hatte 2023 etwa 500.000 bis 1 Million aktive monatliche Nutzer, und 2024 ist dieses Volumen angewachsen. Wenn wir davon ausgehen, dass etwa 0,1 bis 1 Prozent der aktiven Nutzer pro Jahr von Phishing oder Kontoübernahme betroffen sind – was konsistent mit branchenweiten Statistiken für weitere Online-Dienste ist – bedeutet dies hunderte bis tausende von gehackten Konten pro Jahr.

Die Dunkelziffer ist wahrscheinlich hoch. Viele Nutzer bemerken eine Kontoübernahme nicht sofort, besonders wenn der Angreifer klein ist und passiv wartet, statt sofort Geld zu ziehen. Einige Nutzer berichten überhaupt nicht über einen Überfall, weil sie sich schämen oder weil sie glauben, dass es keine Folgen gibt. Die Plattform hat möglicherweise Maßnahmen zur Erkennung verdächtiger Konten (Anomalieerkennung, Transaktionsmuster-Analyse), aber diese sind nicht öffentlich dokumentiert.

Ein zusätzliches Problem ist, dass die Blockchain-Transparenz ein zweischneidiges Schwert ist. Wenn ein Angreifer das Geld abheben möchte, zeigt die Polygon-Blockchain, welche Adressen und welche Transaktionen stattfinden. Mit hinreichend detaillierter Analyse können Forscher oder die Plattform verdächtige Muster erkennen. Andererseits können sophistizierte Angreifer Brücken, dezentralisierte Börsen (DEXs) und Mixer nutzen, um ihre Spuren zu verwischen. Dies führt zu einer Art Wettrüsten zwischen Angreifern und Verteidigern.

Ein Datenpunkt, der etwas Licht wirft: Zentrale Börsen melden oft, dass 5 bis 15 Prozent der Kundensupport-Anfragen mit Kontoübernahmen oder Phishing zusammenhängen. Wenn Polymarket ein ähnliches Verhältnis hat, könnte dies auf eine ziemlich hohe Quote hindeuten – mehrere Prozent der aktiven Nutzer pro Jahr. Allerdings ist Polymarket dezentralisierter strukturiert, und sein Support ist kleiner, sodass die direkten Vergleiche schwierig sind.

Warum Polymarket phishing so schwierig zu bekämpfen ist

Das Kernproblem ist asymmetrisch. Polymarket als Plattform kann mehrere Maßnahmen implementieren – IP-Geolocation-Überprüfungen, Geräteerkennung, anomale Anmeldemuster, erzwungene Wiederauthentifizierung vor großen Abhebungen. Aber der Nutzer ist der erste Verteidigungspunkt, und die Nutzer sind unvollkommen. Sie klicken auf Phishing-Links, verwenden schwache Passwörter, speichern Seed-Phrases auf Cloud-Diensten und teilen sensible Informationen mit Fremden. Keine technische Maßnahme kann vollständig verhindern, dass ein Nutzer seinen eigenen Schlüssel an einen Angreifer gibt.

Ein zweiter Grund ist, dass die Domain-Registrierungssysteme dezentralisiert und praktisch unmöglich zu polizieren sind. Ein Angreifer kann morgen „polymarket-secure.com” oder „polymarket-verify.xyz” registrieren, und es gibt kein zentrales System, das dies sofort blockiert. Polymarket kann seine offizielle Domain – polymarket.com – schützen und Abweichungen melden, aber es kann nicht verhindern, dass Domänen registriert werden, die Polymarket ähneln. Der Nutzer muss die Verantwortung tragen, die URL zu überprüfen.

Ein dritter Grund ist, dass sichere Authentifizierung immer noch Benutzerfreundlichkeit erfordert. Wenn Polymarket erzwungene Zwei-Faktor-Authentifizierung (2FA) für alle Nutzer forderte, würde dies die Sicherheit verbessern, aber auch viele Nutzer abschrecken, weil es komplizierter wird. Plattformen müssen ein Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit finden, und dieses Gleichgewicht begünstigt oft die Benutzerfreundlichkeit – bis zu dem Punkt, an dem Angreifer profitieren können.

Ein vierter Grund ist die Geschwindigkeit der Abhebungen. Polymarket erlaubt Abhebungen über mehrere Kanäle, einschließlich dezentralisierter Brücken und externer Adressen. Dies ist schnell und ermöglicht es echten Nutzern, Geld effizient zu bewegen, aber es ermöglicht auch Angreifern, schnell zu fliehen. Ein System mit längeren Abhebungsfristen oder Genehmigungsprozessen würde die Sicherheit erhöhen, aber die Benutzerfreundlichkeit verringern.

Praktische Maßnahmen zur Reduzierung des persönlichen Risikos

Angesichts dieser Risiken können Nutzer mehrere konkrete Schritte durchführen. Der erste ist, immer die offizielle Domain – polymarket.com – zu überprüfen und Lesezeichen zu verwenden statt einer Suchmaschine. Wenn ein Link in einer E-Mail auftaucht, klicken Sie nicht sofort darauf; öffnen Sie stattdessen den Browser separat und geben Sie die bekannte Domain ein. Dies braucht nur Sekunden länger, kann aber Phishing-Anschläge verhindern.

Der zweite Schritt ist die Verwendung eindeutiger und komplexer Passwörter für Polymarket und für die verknüpfte E-Mail-Adresse. Ein Passwort-Manager wie Bitwarden, 1Password oder Dashlane kann dies vereinfachen. Der Grund ist, dass wenn die E-Mail-Adresse und das Passwort bei einem anderen Dienst geleakt werden, ein Angreifer nicht auf Polymarket zugreifen kann, wenn das Passwort dort unterschiedlich ist.

Der dritte Schritt ist die Aktivierung der Zwei-Faktor-Authentifizierung – sowohl auf Polymarket, falls angeboten, als auch auf der verknüpften E-Mail-Adresse und dem Google-Konto. Dies bietet eine zweite Hürde. Selbst wenn ein Angreifer das Passwort hat, muss er einen Code eingeben, den nur Sie haben. Verwenden Sie einen authentifikator-App wie Authy oder Google Authenticator, nicht SMS-basierte Codes, da SMS-Codes durch SIM-Swapping anfällig sind.

Der vierte Schritt betrifft Wallet-Sicherheit. Wenn Sie MetaMask, Rabby, Phantom oder eine andere Wallet mit Polymarket verbinden, überprüfen Sie die Verbindung in Ihrer Wallet-Einstellung und trennen Sie Verbindungen, die Sie nicht mehr verwenden. Speichern Sie Ihren Seed-Phrase offline an einem physisch sicheren Ort, nicht in Textdateien, Cloud-Speicher oder E-Mails. Verwenden Sie bei wertvollen Positionen oder größeren Guthaben eine Hardware-Wallet wie Ledger oder Trezor, um zusätzliche Isolierung zu erreichen.

Der fünfte Schritt ist, um mit Bedacht auf Community-Support-Anfragen zu handeln. Wenn jemand – auch wenn er wie Polymarket-Support aussieht – Ihren privaten Schlüssel, Ihren Seed-Phrase oder Ihren Magic Link anfordert, ist dies ein Betrug. Polymarket wird diese Informationen nie anfordern. Wenn Sie ein Problem haben, kontaktieren Sie den Support über die offizielle Website, nicht über Discord-, Twitter- oder E-Mail-Links, die Sie in Nachrichten sehen. Sie können auch hier read more über sichere Anmeldeverfahren lesen.

Der sechste Schritt ist, Ihre Anmeldungen zu überwachen. Melden Sie sich regelmäßig an und überprüfen Sie Ihre Transaktionsverlauf. Wenn Sie Aktivitäten sehen, die Sie nicht erkannt haben, ändern Sie Ihr Passwort sofort und kontaktieren Sie den Support. Manche Plattformen bieten auch eine Option, alle anderen Sitzungen zu unterbrechen – nutzen Sie dies, wenn Sie eine Kontoübernahme vermuten.

Was die Zukunft bringt: Technische Verteidigungen und Nutzer-Bildung

Die langfristige Lösung liegt in der Kombination von technischer Innovation und Nutzer-Bewusstsein. Polymarket könnte erzwungene 2FA für hochriskante Konten implementieren – solche mit großen Guthaben oder mit Abhebungsanfragen. Sie könnten auch Geolocation-Überprüfungen implementieren, um Anmeldungen von unerwarteten Standorten zu blockieren oder zu verlangen, dass sie neu authentifiziert werden. Sie könnten auch Blockchain-Analyse-Tools nutzen, um verdächtige Abhebungsmuster zu erkennen und verdächtige Transaktionen zu pausieren, bis der Nutzer sie bestätigt.

Allerdings werden technische Verteidigungen allein Phishing nicht stoppen. Die Nutzer müssen lernen, kritisch zu denken. Dies erfordert eine Kombination von Bildungs-Kampagnen, In-App-Warnungen und Vereinfachung von sicheren Authentifizierungsmethoden. Wenn sichere Authentifizierung als Standardoption einfacher ist als unsicher, werden mehr Nutzer sie verwenden.

Ein weiterer Hoffnungsträger ist die Verwendung von Wallet-Authentifizierung, da diese kein zentral verwaltetes Passwort erfordert. Je mehr Nutzer ihre Wallets für Authentifizierung verwenden, desto weniger Nutzer werden durch wiederverwendete Passwörter gefährdet. Dies setzt jedoch voraus, dass die Wallet-Sicherheit selbst verbessert wird – eine Herausforderung, die nicht nur Polymarket, sondern die gesamte Kryptowährungsindustrie betrifft.

Letztendlich ist Sicherheit keine Einbahnstraße. Kontoübernahmen auf Polymarket werden wahrscheinlich fortbestehen, solange Nutzer grundlegende Fehler machen und Angreifer finanzielle Anreize haben. Die Häufigkeit kann jedoch durch informierte Nutzerpraktiken, durchdachte Plattform-Design-Entscheidungen und eine Kultur der Vorsicht deutlich verringert werden. Nutzer, die ihre eigene Sicherheit ernst nehmen, sind die beste Verteidigung, die Polymarket hat.