Handy mit gesprungenem Display auf einem nassen Tisch, giftgrüne Token und Nebel werden in einen Glastrichter gesogen

400.000 Dollar weg bei Predict.fun – Nutzer-Wallets geleert, Erstattung zugesagt

28. Oktober 2026

·

Rund 400.000 USDT sind bei Predict.fun aus Nutzer-Wallets verschwunden – und das Unternehmen will das Geld ersetzen. Predict.fun ist ein Prognosemarkt, also eine Plattform, auf der man auf den Ausgang von Ereignissen setzt. Der Dienst läuft auf der BNB Chain und ist auch über die Binance Wallet erreichbar. USDT ist ein Stablecoin, dessen Wert am US-Dollar hängen soll.

Zwei Wellen, keine kaputte Markt-Software

Am Dienstag (27. Oktober) meldete Predict.fun auf X unbefugte Überweisungen aus einer kleinen Zahl von Nutzer-Wallets in Höhe von etwa 400.000 USDT. Die vorläufige Untersuchung deute auf die API-Dokumentationsseite hin – also die Hilfe-Seite für Entwickler, die bei einem externen Anbieter liegt. Die Seite sei offline genommen worden. „We will fully reimburse all affected users for any funds lost as a direct result of this incident“, schrieb das Unternehmen. Eine ausführliche Analyse nach Abschluss der Untersuchung wurde angekündigt.

Die Blockchain-Analysefirma Bitquery hat die Transaktionen nachvollzogen: Zwischen dem 22. und 27. Oktober seien 29 Konten um zusammen 397.708 USDT geleert worden – in zwei Wellen im Abstand von fünf Tagen. Wichtig: Es wurde laut Bitquery kein Predict.fun-Marktvertrag angegriffen. Jede Abbuchung sei mit dem jeweiligen Eigentümer-Schlüssel der Wallet unterschrieben worden. Das Geld sei über sogenannte Bridges – Brücken zwischen Blockchains – von der BNB Chain nach Ethereum gebracht und großteils in Tornado Cash eingezahlt worden, einem Mixer, der die Spur der Coins verschleiern soll.

Ob die Erstattungen bereits geflossen sind, ist noch nicht endgültig öffentlich bestätigt. Der On-Chain-Beobachter Onchain Lens schrieb am Dienstagabend US-Zeit, Predict.fun habe die Nutzer entschädigt. Unabhängige Bestätigungen über den genauen Umfang liegen uns nicht vor.

Wie so ein Angriff funktioniert

Wer bei Predict.fun handelnde Bots oder die Entwickler-Schnittstelle nutzt, exportiert oft den privaten Schlüssel seiner Wallet. Sitzt Schadcode auf einer Dokumentationsseite oder wird der Schlüssel anderweitig kopiert, kann ein Angreifer Überweisungen so freigeben, als wäre der Nutzer selbst am Werk. Die Wallet prüft nur, ob die Unterschrift zum Eigentümer-Schlüssel passt – und führt aus. Genau das beschreibt Bitquery für diesen Fall. Ob die Dokumentationsseite der konkrete Weg war, hat Predict.fun bislang nur als vorläufigen Verdacht genannt.

Was Leser jetzt prüfen sollten

Freigaben und alte Schlüssel: Wer jemals einen Wallet-Schlüssel für eine App, ein Bot-Skript oder eine API exportiert hat, sollte diesen Schlüssel als kompromittiert behandeln, Guthaben in eine neue Wallet umziehen und alle alten Freigaben widerrufen – also die Erlaubnis, die man Apps früher für Token-Bewegungen gegeben hat (in vielen Wallets unter „Approvals“, „Permissions“ oder „Connected Apps“).
Experiment-Wallet trennen: Für neue Dienste, Prognosemärkte und Entwickler-Tools eine separate Wallet mit wenig Guthaben nutzen – nicht die Hauptkasse.
Vorsicht vor Fake-Erstattungen: Mails, DMs oder Links mit angeblicher Rückzahlung sind ein klassischer Betrugstrick. Erstattungen kommen von der Plattform selbst, nie über einen Link, der nach dem Seed oder einem privaten Schlüssel fragt.
Dokumentationsseiten kritisch behandeln: Unerwartete Pop-ups, Wallet-Aufforderungen oder „Connect“-Fenster auf Hilfe-Seiten sofort abbrechen.

Der Fall zeigt: Auch wenn die Markt-Software intakt bleibt, können Nutzer-Schlüssel und Drittanbieter-Seiten zum Einfallstor werden. Wer mit wenig Geld startet und Freigaben regelmäßig prüft, begrenzt den Schaden deutlich.

Quellen

Disclaimer

Keine Anlageberatung: Dieser Beitrag dient ausschließlich der Information und ersetzt keine individuelle Finanzberatung. Kryptowährungen können erhebliche Verluste verursachen.