Polymarket KYC-Spoof: Kann jemand mit deinem Namen verifizieren und dein Konto übernehmen?

Ein Nutzer hat bei Polymarket ein Konto angelegt, Geld eingezahlt und regelmäßig auf Ereignisse gewettet. Einige Tage später meldet sich der Support: Das Konto wurde gesperrt, weil eine zweite KYC-Verifizierung (Know Your Customer) eingereicht wurde – unter seinem Namen, aber mit Dokumenten, die nicht ihm gehören. Der Angreifer hatte den Namen richtig, aber gefälschte oder gestohlene Ausweisdokumente verwendet. Das Kernproblem ist konkret: Welche Sicherheitsschichten schützen ein Polymarket-Konto davor, dass jemand anderes sich als der echte Besitzer ausgibt und die Identität verifiziert?

Diese Situation wirft drei kritische Fragen auf. Erstens, wie verwaltet Polymarket dokumentbasierte Verifizierungsdaten und erkennt Duplikate oder Fälschungen. Zweitens, welche Schritte Angreifer unternehmen müssen, um überhaupt eine zweite Verifizierung einzuleiten. Drittens, wie kann ein legitimer Nutzer sein Konto schützen, wenn die Verifizierungsprüfung selbst ein Angriffsziel ist. Die Antwort auf diese Fragen zeigt, dass das Problem nicht einfach in der Verifizierungstechnologie liegt, sondern in der Kontrolle über das Konto, von dem aus die Verifizierung beantragt wird.

Wie ein Konto zum KYC-Angriffsziel wird

Die typische Angriffssequenz beginnt nicht mit der KYC-Verifizierung selbst. Sie beginnt mit dem Zugang zum Konto. Ein Angreifer kann durch mehrere Wege eindringen: Das Email-Passwort wurde in einem Datenleck offengelegt, die Google OAuth-Authentifizierung wurde durch Phishing oder eine kompromittierte Sitzung beschädigt, oder die Wallet-Verbindung wurde durch eine verdächtige Transaktion missbraucht. Sobald der Angreifer sich anmelden kann, kann er die Einstellungsseite öffnen und eine neue KYC-Verifizierung initiieren – das ist der entscheidende Punkt.

Polymarket verlangt zur KYC-Verifizierung üblicherweise ein Ausweisdokument (Reisepass, Führerschein oder ID-Karte), manchmal ein Adressnachweis und eine Liveness-Überprüfung (ein Video oder Selfie, das beweist, dass eine echte Person die Dokumente hält). Ein Angreifer mit Zugang zum Konto kann seine eigenen, falschen oder gestohlenen Dokumente hochladen und behaupten, dass sie zum Kontoinhaber gehören. Das System prüft die Echtheit der Dokumente, vergleicht aber nicht automatisch, ob die Person, die sich verifiziert, die gleiche ist, die das Konto ursprünglich erstellt hat.

Das ist der kritische Unterschied zwischen Dokumentenverifizierung und Kontoeigentümer-Verifizierung. Die erste prüft, ob ein Ausweis echt ist und nicht manipuliert wurde. Die zweite würde erfordern, dass Polymarket überprüft, ob die Person mit dem Ausweis die gleiche ist, die das Konto kontrolliert hat und von Anfang an Geld eingezahlt hat. Ohne diese zweite Schicht kann jemand mit Kontenzugriff dokument-weise eine neue Identität “verifizieren”, die aber nicht zu der ursprünglichen Kontoeröffnung passt.

Ein weiterer Angriffsvektor ist die Wiederverwendung von Dokumenten. Wenn ein Hacker Ausweisdaten mehrerer Menschen sammelt (zum Beispiel aus einem geklauten Datensatz), kann er sie gegen mehrere Polymarket-Konten nutzen, sofern er Zugriff auf diese Konten hat. Polymarket sollte daher nicht nur prüfen, ob ein Dokument echt ist, sondern auch, ob das gleiche Dokument bereits für ein anderes Konto verwendet wurde. Die meisten modernen Plattformen führen eine Datenbank von hochgeladenen Dokumenten, um genau das zu verhindern.

Biometrische Liveness und ihre Grenzen

Das Beste Werkzeug gegen Dokumentenfälschung ist die Liveness-Überprüfung. Sie verlangt von der Person, ein Video zu machen oder ein Selfie zu schießen, in dem sie den Ausweis hält, ihn dreht und möglicherweise zur Kamera blickt. Das Ziel ist zu zeigen, dass eine echte Person hinter dem Dokument steht und nicht bloß ein gescannter Fotokopie hochgeladen wird. Wenn Polymarket diese Überprüfung korrekt durchführt, wird ein Problem deutlich: Ein Angreifer mit Kontenzugriff kann sich selbst verifizieren. Er kann sein eigenes Video hochladen, während er einen gestohlenen Ausweis hält. Die biometrische Liveness prüft dann nicht, ob dieser Mensch der Kontoinhaber ist, sondern nur, dass irgendjemand mit einem echten Körper ein Dokument hält.

Das ist eine bekannte Schwachstelle in KYC-Systemen, die nicht mit historischen Daten verbunden sind. Wenn Polymarket beim initialen Kontozugang (über Google, Email oder Wallet) keine biometrische Verifizierung durchgeführt hat, gibt es keinen Vergleich zwischen der ersten Person und der zweiten. Die Liveness-Prüfung ist nicht nutzlos – sie verhindert reine Dokumentfälschung, bei der jemand ein Fotokopie hochlädt – aber sie verhindert nicht, dass eine neue, unbekannte Person sich als Kontoinhaber ausgibt, wenn sie Zugang hat.

Einige Plattformen verwenden daher zeitliche Konsistenz als Sicherheitsmaßnahme: Sie vergleichen die biometrischen Daten oder die Gesichtsgeometrie zwischen zwei Verifizierungen. Wenn ein Konto vor zwei Jahren mit Verifizierung A eröffnet wurde und jetzt Verifizierung B mit einem anderen Gesicht eingereicht wird, wird das System die Diskrepanz erkennen. Dies setzt voraus, dass die erste Verifizierung durchgeführt und gespeichert wurde – viele Plattformen verlangen aber nur eine Verifizierung bei Auszahlung oder Kontozugang, nicht beim initialen Anlegen eines Kontos.

Ein noch einfacheres Signal ist das Verhalten: Wenn ein Konto monatelang inaktiv war und plötzlich eine neue KYC-Verifizierung mit anderen Dokumenten eingereicht wird, könnte das eine Warnung sein. Ein echte Kontoinhaber würde typischerweise vor einer Kontoverifizierung sein Passwort oder seine Wallet-Verbindung wiederherstellen, nicht direkt eine neue Identität verifizieren lassen. Polymarket kann solche Anomalien durch maschinengestützte Überprüfung oder manuelle Prüfung hochriskanter Konten erkennen.

Email und Wallet als schwächste Glieder

Wer kontrolliert das Konto? Das ist die zentralere Frage als die Echtheit der Dokumente. Auf Polymarket kann sich ein Nutzer über drei Methoden anmelden: Google OAuth, ein Magic Code per Email oder Wallet-Signatur. Jede hat eine unterschiedliche Attackfläche.

Google OAuth ist stark, weil Google Millionen von Konten durch Zwei-Faktor-Authentifizierung schützt. Wenn ein Angreifer ein Google-Konto kompromittiert hat, kann er sich in Polymarket anmelden. Das ist aber ein Google-Problem, nicht primär ein Polymarket-Problem. Der Schwachpunkt liegt bei dem Nutzer selbst: Wenn er sein Google-Passwort wiederverwendet hat, das Passwort in einem Phishing-Angriff offengelegt wurde oder sein Google-Konto über eine Recovery-Email kompromittiert wurde.

Magic Codes per Email sind schneller und erfordern kein Passwort. Ein Nutzer gibt seine Email-Adresse ein, erhält einen Code per Mail und loggt sich damit ein. Das Problem: Der Zugang hängt völlig vom Email-Konto ab. Wenn der Angreifer die Email hackt (zum Beispiel durch ein schwaches Passwort oder durch Account-Recovery über eine kompromittierte Telefonnummer), kann er sich in Polymarket anmelden und eine neue KYC-Verifizierung durchführen. Das Polymarket-Sicherheitssystem arbeitet dann perfekt – es erkennt einen gültigen Zugang und erlaubt die Verifizierung – aber der zugrunde liegende Zugang war bereits vergeben.

Wallet-basierte Anmeldung (MetaMask, Rabby, Phantom oder andere WalletConnect-kompatible Apps) nutzt EIP-712 Message Signing, um die Wallet-Kontrolle nachzuweisen, ohne dass Token bewegt werden. Das ist elegant, aber die Sicherheit hängt von der Wallet ab. Wenn ein Angreifer die Wallet-Recovery-Phrase stiehlt oder die Wallet selbst kompromittiert, kann er sich anmelden. Ein besonders subtiler Angriff ist die Verknüpfung von mehreren Anmeldeverfahren mit dem gleichen Konto. Wenn ein Nutzer sein Konto sowohl mit Google als auch mit einer Wallet verknüpft hat, kann der Angreifer nur eine der beiden Methoden nutzen.

Das impliziert eine operative Realität: Ein Nutzer, der seine Email, sein Google-Konto und seine Wallet gleichermaßen sichert, ist schwerer anzugreifen als ein Nutzer, der alle drei Methoden mit schwachen Passwörtern oder kompromittierten Recovery-Phrasen verknüpft hat. Polymarket kann die Sicherheit der zugrundeliegenden Authentifizierungsquellen nicht erzwingen – es kann nur starke Verifizierungslogik ausführen, sobald der Zugang bestätigt ist.

Dokumentenvergleich und zentrale Datenbanken

Ein etabliertes KYC-Verifizierungssystem arbeitet mit mehreren Ebenen von Dokumentenvergleichen. Die erste Ebene ist die Biometrie-Matching zwischen dem Dokument selbst und dem Selfie oder Video des Antragstellers. Ein hochwertiger Verifizierungsanbieter (Polymarket nutzt wahrscheinlich einen Drittanbieter wie Onfido, Jumio oder Sumsub) prüft, ob das Gesicht im Video dem Gesicht auf dem Dokument ähnelt und ob die Person tatsächlich lebt und reagiert.

Die zweite Ebene ist die Dokumentenechtheitsprüfung. Das System überprüft Hologramme, Sicherheitsmerkmale, UV-Reflexionen und andere Merkmale echter Ausweise. Es vergleicht das Lichtmuster, die Schriftart und die Feldpositionen mit einer Referenzdatenbank von echten Dokumenten aus verschiedenen Ländern. Ein Scan oder eine manipulierte Kopie wird üblicherweise erkannt.

Die dritte Ebene ist die zentrale Duplikatprüfung. Polymarket speichert gekürzte oder gehashte Versionen von Dokumentendaten (oft nur ein Fingerabdruck des Dokumentes, nicht die vollständige Kopie) und prüft, ob das gleiche Dokument bereits für ein anderes Konto verwendet wurde. Das ist essentiell, um zu verhindern, dass gestohlen Ausweisdaten gegen mehrere Konten genutzt werden. Wenn das System gut funktioniert, wird eine zweite Anwendung mit den gleichen Dokumenten abgelehnt.

Die vierte Ebene ist die Datenleck-Überprüfung und Sanktionsprüfung. Polymarket kann überprüfen, ob der Name und die Daten des Antragstellers in veröffentlichten Hacker-Datenbanken erscheinen oder auf internationalen Sanktionslisten stehen. Das schützt nicht direkt vor KYC-Spoofing, verhindert aber, dass eindeutig gestohlene oder illegale Konten verifiziert werden.

Eine Schwachstelle in vielen Systemen ist die fehlende zeitliche Kohärenz. Wenn Polymarket Verifizierungsdaten nicht mit dem genauen Zeitstempel, IP-Adresse und Gerät speichert, können später nicht erkannt werden, dass zwei Verifizierungen unter verdächtigen Umständen eingereicht wurden. Ein Konto, das am 1. Januar von IP-Adresse X in Deutschland verifiziert wurde und am 20. Januar von IP-Adresse Y in Brasilien eine neue Verifizierung einreicht, sollte rote Flaggen auslösen.

Der Schutz durch Kontosperre und Eskalation

Polymarket implementiert einen wichtigen operativen Schutz: Wenn eine verdächtige oder doppeelte KYC-Verifizierung erkannt wird, wird das Konto sofort gesperrt. Das verhindert, dass ein Angreifer, der ein Konto kompromittiert hat, die neue Verifizierung nutzen kann, um Geld abzuheben oder Positionen zu liquidieren. Die Sperre ist nicht angenehm für den legitimen Nutzer – er kann nicht auf sein Geld zugreifen – aber sie ist ein defensiver Mechanismus.

Wenn ein Nutzer sein Konto als gehackt meldet, sollte Polymarket einen Eskalationsprozess durchlaufen. Das Support-Team überprüft die Konteneröffnung (Zeitstempel, IP, Email, Wallet), vergleicht sie mit den eingereichten KYC-Daten und könnte feststellen, dass die neuen Dokumente nicht zu den ursprünglichen Daten passen. Ein Nutzer, der sein Konto ursprünglich mit einer Google-Login aus München eröffnet hat, würde nicht plötzlich von einer neuen Wallet aus Singapore eine neue Verifizierung mit anderen Dokumenten einreichen – wenn dies geschieht, ist das ein starkes Signal für Kompromittierung.

Die Wiederherstellung eines gehackten Kontos ist aufwendig. Polymarket müsste überprüfen, dass der Nutzer, der Kontakt aufnimmt, der echte Besitzer ist. Das geht über Email-Bestätigung hinaus – es würde wahrscheinlich verlangen, dass der Nutzer die ursprüngliche Wallet-Adresse oder das ursprüngliche Google-Konto nachweist, die er zum Registrieren verwendet hat. Wenn die Wallet-Seed-Phrase gestohlen wurde, kann der Nutzer die Wallet möglicherweise nicht kontrollieren. Wenn das Google-Konto gehackt wurde, kann der Nutzer möglicherweise nicht auf die Recovery-Email zugreifen. Das sind Szenarien, in denen auch Polymarket limitierte Optionen hat – das Konto könnte permanente verloren gehen.

Ein praktischer Schutz ist also die Vorbeugung, nicht die Wiederherstellung. Ein Nutzer sollte sein Email-Konto und jede angebundene Wallet gleich stark schützen wie sein Polymarket-Konto selbst. Wenn the official site empfiehlt, zwei-Faktor-Authentifizierung auf der Authenticator-App einzuschalten, dann sollte das auf dem Google-Konto und dem Email-Anbieter geschehen, nicht nur auf Polymarket. Ein Hacker, der diese äußeren Schichten durchbricht, kann die Polymarket-Sicherheit umgehen.

Phishing und Domain-Spoofing als erste Angriffsschicht

Viele KYC-Spoof-Angriffe beginnen nicht mit direktem Passwort-Hacken, sondern mit Phishing. Ein Angreifer sendet einen gefälschten Link, der aussieht wie polymarket.com, aber tatsächlich eine Phishing-Seite ist. Der Nutzer gibt seinen Email und Passwort ein – oder autorisiert Google OAuth durch eine gefälschte Google-Login-Seite – und der Angreifer erhält die Anmeldedaten. Innerhalb von Minuten kann der Angreifer sich dann auf dem echten Polymarket-Konto anmelden.

Der Schutz gegen Phishing ist mehrschichtig. Erstens sollte ein Nutzer nur Polymarket durch die offizielle Domain polymarket.com erreichen, nicht durch Links aus Emails oder Twitter. Zweitens sollte er browser-basierte Warnsysteme aktivieren (Google Safe Browsing, Firefox’s phishing detector), die gefälschte Domains kennzeichnen. Drittens sollte er nicht automatisch auf Links klicken, sondern die URL manuell eingeben oder ein Lesezeichen nutzen. Viertens sollte er, wenn er sich über Google anmeldet, überprüfen, dass die Google-Anmeldung eine offizielle Google-Domain (accounts.google.com) verwendet und nicht ein Phishing-Fake.

Ein subtilerer Angriffsvektor ist das Typosquatting: Ein Angreifer registriert ähnliche Domains wie polymarkett.com, polymarket.io oder polymarked.com. Wenn ein Nutzer einen Typo macht oder sich die Domain nicht genau merkt, landet er auf einer gefälschten Seite. Polymarket kann diesen Angriff nur begrenzt verhindern – es kann aber vor Phishing auf the official site warnen und anbieten, verdächtige Domains zu melden.

Ein Nutzer, der sein Konto geschützt hat, sollte auch sein Email-Konto überwachen. Wenn er verdächtige Anmeldeversuche sieht oder neue Authentifizierungsmethoden hinzugefügt wurden, die er nicht erkannt hat (z.B. eine neue Wallet-Verbindung), sollte er das Passwort ändern und die Session-Historie überprüfen.

Best Practices: Wie ein Nutzer sein Polymarket-Konto schützt

Ein Nutzer, der sein Konto gegen KYC-Spoof-Angriffe schützen will, sollte sechs konkrete Schritte unternehmen. Erstens: Ein starkes, einzigartiges Passwort für das Email-Konto. Das Email-Konto ist das Rückgrat aller Kontowiederherstellungen. Wenn das Email-Passwort schwach ist oder wiederverwendet wird, kann ein Angreifer alle verknüpften Konten übernehmen. Ein Manager wie Bitwarden, 1Password oder KeePass sollte verwendet werden, um das Passwort zu generieren und zu speichern.

Zweitens: Zwei-Faktor-Authentifizierung (2FA) auf dem Email-Konto aktivieren, am besten mit einer Authenticator-App wie Google Authenticator, Authy oder Microsoft Authenticator – nicht mit SMS, da SIM-Swaps möglich sind. Das Email-Konto selbst wird dadurch deutlich schwerer zu hacken.

Drittens: Wallet-Recovery-Phrase sicher lagern. Die Seed-Phrase sollte nicht auf dem Computer, in der Cloud oder in Notizen gespeichert werden. Sie sollte auf Papier oder auf einem Stahlblech offline aufbewahrt werden, idealerweise an zwei verschiedenen physischen Orten.

Viertens: Polymarket-Konto mit mindestens zwei Authentifizierungsmethoden verknüpfen, zum Beispiel Google und eine Wallet. Das erhöht die Kosten für einen Angreifer – er müsste beide Methoden kompromittieren. Wenn beide Methoden aktiv sind, kann ein Nutzer sich auch anmelden, wenn eine ausgefallen ist.

Fünftens: Verdächtige Aktivitäten überwachen. Wenn ein Nutzer eine Benachrichtigung erhält, dass sich sein Konto angemeldet hat oder dass eine neue Verifizierung eingereicht wurde, die er nicht erkannt hat, sollte er sofort sein Passwort ändern und den Support kontaktieren.

Sechstens: Phishing erkennen. Ein Nutzer sollte wissen, dass Polymarket keine Passwörter per Email anfragen wird, nicht per Discord oder Telegram-DM um Seed-Phrases bittet und keine Links verschickt, um seine Kontodaten zu “bestätigen”. Wenn es verdächtig klingt, ist es verdächtig.

Was Polymarket selbst tun kann und sollte

Aus Plattform-Perspektive gibt es mehrere Maßnahmen, die die Sicherheit deutlich verbessern könnten. Erstens: Biometrische Verifizierung beim initialen Kontozugang, nicht nur bei der KYC-Verifizierung. Wenn ein Nutzer sein Konto eröffnet, könnte Polymarket ein Selfie oder ein kurztes Video mit Liveness-Erkennung verlangen. Das würde eine historische Baseline schaffen, gegen die später Verifizierungen geprüft werden können.

Zweitens: Anomalienerkennung und Benachrichtigung. Wenn eine neue KYC-Verifizierung mit einer anderen IP-Adresse, einem anderen Land oder langer Zeit nach der initialen Eröffnung eingereicht wird, sollte das Konto automatisch in einen Review-Zustand versetzt werden. Der Nutzer würde per Email benachrichtigt: “Eine neue Verifizierung wurde in Brasilien von einer neuen Wallet eingereicht. War das du?” Wenn keine Bestätigung kommt, wird die Verifizierung abgelehnt.

Drittens: Explizite Zwei-Faktor-Authentifizierung auf Polymarket erzwingen oder anbieten. Wenn ein Nutzer Auszahlungen plant oder seine Verifizierungsdaten ändern möchte, könnte ein OTP-Code (One-Time Password) von der Authenticator-App erforderlich sein. Das würde einen Angreifer mit nur dem Passwort nicht retten.

Viertens: Recovery-Prozesse transparent und sicher machen. Wenn ein Nutzer sein Konto für gehackt erklärt, sollte es einen standardisierten Verifizierungsprozess geben: Nachweis der Wallet-Kontrolle, Zugang zur ursprünglichen Email oder ein Video-Interview mit Support. Das ist zeitaufwendig, aber es verhindert, dass ein Angreifer das Konto unbegrenzt kontrolliert.

Fünftens: Dokumentenfälschungen durch KI-Erkennung filtern. Modern KYC-Anbieter nutzen Deep-Learning-Modelle, um zu erkennen, ob ein Dokument mit KI generiert, mit Photoshop manipuliert oder mit einer einfachen Scan-Manipulation verändert wurde. Das ist kein perfektes Schutzsystem, aber es erhöht die Kosten für professionelle Dokumentenfälscher.

Der Kern ist ein operatives Prinzip: KYC-Sicherheit ist nicht nur Dokumentenechtheit, sondern Verantwortlichkeitskette. Jede Verifizierungseingabe sollte mit dem Kontozugang, der E-Mailhistorie, der Geolocation und der früheren Verifizierungen verknüpft werden. Wenn ein Konto am 15. Januar von IP-Adresse X verifiziert wurde und am 15. Februar von IP-Adresse Y eine neue Verifizierung mit anderen Dokumenten eingereicht wird, ist das nicht nur verdächtig – es ist ein Beweis dafür, dass etwas nicht stimmt.