Über ein Skript, das bei Polymarket die Ladezeit messen sollte, verkauften Angreifer am 29. Oktober die Positionen angemeldeter Nutzer. Polymarket erstattet dafür 2,7 Mio. Dollar, rund 2,35 Mio. Euro. DebugBear, der Anbieter des Skripts, fordert alle Kunden auf, seinen Code zu entfernen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 6 Abschnitte
Der Londoner Messdienst DebugBear hat am 29. Oktober einen Sicherheitsvorfall gemeldet.[2] Die Angreifer hatten über den Domain-Registrar die DNS-Einträge des Unternehmens geändert. Nach ersten Erkenntnissen galt der Angriff nur der Website eines einzelnen Kunden.[3]
Das Wichtigste in Kürze
- Die DebugBear-Adresse lieferte an Polymarket rund eine Stunde lang Schadcode statt des Messskripts aus.
- Die Angreifer brauchten kein Passwort, der Code nutzte die Anmeldung der Besucher.
- Polymarket zahlt insgesamt rund 3,4 Mio. Euro an Betroffene.
- Am 2. November zeigte die Domain von DebugBear noch auf eine Parkseite.
Wie kam der Schadcode auf die Seite von Polymarket?
Jeder Kunde bindet für das Real User Monitoring, die Messung bei echten Besuchern, eine eigene Datei von cdn.debugbear.com ein. Um 17:54 Uhr deutscher Zeit erreichte Cloudflare den Server von DebugBear nicht mehr, wie die IT-Sicherheitsfirma Ohey rekonstruiert hat. Danach lieferte ein anderer Server eine Datei mit 15.187 statt 60.493 Byte aus, ohne Messcode.[5]
Hudson Rock hat die Datei ausgewertet: Der Code las Kontodaten aus dem Browserspeicher, suchte die Handelsfunktion von Polymarket und ließ Aufträge von der Signaturfunktion des Kontos freigeben.[4] Von 18:10 bis 19:02 Uhr gingen 28,6 Millionen POL, die Kryptowährung des Polygon-Netzes, und Positionen aus 33 Konten auf der Wallet der Angreifer ein.[5] Polymarket entfernte das Skript um 18:59 Uhr, meldete alle Nutzer ab und zahlt zusätzlich rund 1,04 Mio. Euro für Verluste während der Handelspause.[1]
Warum hielt die Sicherheitsrichtlinie den Code nicht auf?
Ein eingebundenes Skript läuft mit allen Rechten der Seite. Polymarkets Content Security Policy (CSP) erlaubte cdn.debugbear.com, und laut Ohey standen auch alle übrigen Adressen des Schadcodes auf der Liste.[5] Eine CSP prüft, woher eine Datei kommt, nicht, was in ihr steht.
Den Inhalt prüft erst Subresource Integrity (SRI) mit einer Prüfsumme im Quelltext. Bei Messdiensten passt die Prüfsumme nach jedem Update des Anbieters nicht mehr, deshalb half SRI auch beim manipulierten Tracking-Skript von Adform im Juli nicht. Polymarket will fremde Skripte künftig in fester Version und mit strengerer CSP laden.[1]
Ein Skript, das nur die Ladezeit messen sollte, hatte bei Polymarket Zugriff auf jedes angemeldete Konto. Auf Login- und Kassenseiten gehört kein fremder Code.
Markus Seyfferth, Chefredakteur Dr. Web
Ablauf am 29. Oktober, deutsche Zeit
| Uhrzeit | Ereignis |
|---|---|
| 17:54 | Cloudflare erreicht den Server von DebugBear nicht mehr |
| 18:10 | Die ersten Beträge gehen auf der Wallet der Angreifer ein |
| 18:59 | Polymarket nimmt das DebugBear-Skript von der Website |
| 19:00 | DebugBear meldet den Vorfall und bittet Kunden, den Code zu entfernen |
| 19:02 | Die letzten Positionen gehen bei den Angreifern ein |
| 19:05 | Polymarket lässt nur noch Stornierungen zu |
| 20:00 | Der Handel bei Polymarket läuft wieder |
Am 30. Oktober teilte DebugBear mit, dass Angreifer die DNS-Einträge über den Domain-Registrar geändert hatten. Hinweise auf einen Einbruch in die eigenen Systeme fand das Unternehmen bis dahin nicht.
Was bedeutet der Fall für Websites in Deutschland?
Am 2. November um 4:40 Uhr lösten öffentliche DNS-Server debugbear.com noch auf Parkserver auf. Die Seite dort meldet, die Registrierung sei abgelaufen, laut Whois ist die Domain aber aktiv. Wie die Angreifer an die DNS-Einträge kamen, hat DebugBear nicht mitgeteilt.
Ob weitere Kunden Schadcode bekamen, ist offen; Hudson Rock fand keine Hinweise darauf.[4] Für ein Fremdskript ist der Betreiber nach dem Fashion-ID-Urteil des EuGH mitverantwortlich, soweit es Daten erhebt und weitergibt.[8] Nach Artikel 33 DSGVO muss er eine Datenpanne binnen 72 Stunden melden, außer sie birgt voraussichtlich kein Risiko, und jede Panne dokumentieren.[7] Die EU-Staaten wollen die Meldepflicht lockern.
Was sollten Betreiber jetzt tun?
- Einbindung entfernen: Templates, Tag Manager und Code-Plugins nach cdn.debugbear.com durchsuchen, danach den Seiten-Cache leeren.
- Anmelde- und Kassenseiten freiräumen: Mess- und Werbeskripte nur laden, wo sie unverzichtbar sind.
- Fremde Dateien in fester Version einbinden: mit SRI-Prüfsumme oder auf dem eigenen Server.
- Messwerte echter Besucher ohne Fremdskript nutzen: Die Core Web Vitals in der Google Search Console stammen aus dem Chrome UX Report.[6]
- Prüfung dokumentieren: Festhalten, wo und wann das Skript lief, und die Meldepflicht prüfen.
Weitere Schutzmaßnahmen fasst der Überblick zur WordPress-Sicherheit zusammen.
FAQ: Gekapertes DebugBear-Skript: Angreifer erbeuten bei Polymarket 2,7 Mio. Dollar
Muss ich das Skript von DebugBear jetzt von meiner Website entfernen?
Ja. DebugBear hat seine Kunden am 29. Oktober aufgefordert, den Code seines Produkts für Real User Monitoring zu entfernen. Eine Entwarnung gab es bis zum 2. November nicht, die Domain zeigte an diesem Morgen auf eine Parkseite.
Schützt eine Content Security Policy vor manipulierten fremden Skripten?
Nur zum Teil. Eine CSP legt fest, von welchen Adressen eine Seite Skripte lädt. Liefert eine erlaubte Adresse eine manipulierte Datei aus, führt der Browser sie trotzdem aus. Den Inhalt prüft erst Subresource Integrity mit einer Prüfsumme im Quelltext.
Brauche ich ein eigenes Messskript für die Core Web Vitals?
Für die Search Console nicht. Google zeigt dort die Core Web Vitals aus dem Chrome UX Report, der auf Daten echter Chrome-Nutzer beruht. Ein eigenes Messskript liefert zusätzliche Details, etwa für einzelne Seiten mit wenigen Besuchern.
Quellen
8 Quellen anzeigenQuellen ausblenden
- Polymarket StatusSecurity incident – 3rd party vendor compromised, Postmortem vom 30. Oktober 2026
- DebugBear auf LinkedInWe’re impacted by an ongoing security incident.
- DebugBear auf LinkedInWe’re continuing to investigate the security incident.
- Hudson Rock, Infostealers.comPolymarket Breach Alert: Wallet-Draining Code Found in a Third-Party Script
- OheyPolymarket wallet drainer served from DebugBear’s script CDN
- Google Search Console-HilfeBericht zu Core Web Vitals, abgerufen am 2. November 2026
- EUR-LexDatenschutz-Grundverordnung (EU) 2016/679, Artikel 33, abgerufen am 2. November 2026
- Gerichtshof der Europäischen UnionUrteil vom 29. Juli 2019, Rechtssache C-40/17, Fashion ID
Mehr Newshunger?
- Adform kompromittiert: Ein manipuliertes Tracking-Skript ersetzte Krypto-Adressen
- Bunny CDN tauscht TLS-Zertifikate aus, nachdem ein Serveranbieter einen Einbruch meldete
- Angreifer erschleichen sich TLS-Zertifikate für Google und andere große Dienste
- Keyv kompromittiert: Der Angriff auf die npm-Lieferkette läuft noch
- Google Mai-Update: Core Web Vitals zählen jetzt als ein Gesamtwert
- Datenpannen: EU-Staaten wollen die Meldepflicht auf Fälle mit hohem Risiko beschränken
