Polymarket suspende las operaciones tras un robo de 2,6 millones de dólares
Polymarket suspendió sus intercambios durante aproximadamente una hora tras el desvío de al menos 2,6 millones de dólares pertenecientes a sus usuarios. El ataque no habría apuntado a la blockchain en sí, sino a una herramienta de medición del rendimiento integrada en el sitio, revelando una debilidad frecuentemente descuidada de las plataformas no depositarias.
En resumen
- Polymarket suspendió sus intercambios durante una hora tras un hackeo estimado en 2,6 millones de dólares.
- Más de 700 cuentas habrían sido afectadas, con posiciones vendidas y fondos transferidos sin autorización.
- El ataque habría explotado un script externo comprometido, sin afectar directamente la blockchain Polygon.
- Polymarket promete reembolsar íntegramente a los usuarios víctimas del hackeo.
- Un incidente similar ya había causado pérdidas por aproximadamente 3 millones de dólares en junio.
Un simple script de seguimiento abrió el acceso a las cuentas
El incidente comenzó el 29 de octubre en la plataforma internacional Polymarket.com. Usuarios reportaron la venta de sus posiciones y la transferencia de sus activos sin autorización. Uno afirmó haber perdido 800000 dólares, mientras que otra cuenta habría sido vaciada de 600000 dólares.
Polymarket primero cambió su mercado a modo «solo cancelar». Los traders podían cancelar sus órdenes existentes, pero no realizar nuevas operaciones. También se suspendieron las acciones del servicio encargado de enviar las transacciones firmadas a la blockchain.
La información disponible permite reconstruir las principales etapas del incidente :
- Se comprometió una solución externa integrada al sitio ;
- Un código JavaScript malicioso habría apuntado a sesiones ya conectadas ;
- Las posiciones de algunos usuarios fueron vendidas sin su consentimiento ;
- Los activos obtenidos fueron luego enviados a una dirección controlada por el atacante ;
- Más de 700 cuentas habrían sido afectadas, por al menos 2,6 millones de dólares ;
- Polymarket promete reembolsar íntegramente a las víctimas.
La interrupción duró una hora. La plataforma luego anunció haber corregido el problema y restaurado todos sus servicios. Aseguró al mismo tiempo, y precisando que había entregado el caso a las autoridades británicas:
Cualquier persona afectada será indemnizada íntegramente.
Sin embargo, el monto definitivo aún no se ha comunicado. Las estimaciones se basan principalmente en los movimientos observados hacia una dirección atribuida al atacante. El número exacto de víctimas y las modalidades del reembolso también están por precisar.
La blockchain estaba intacta, pero la interfaz de Polymarket ya no
Los primeros análisis on-chain señalan a DebugBear, una empresa británica especializada en el seguimiento de rendimiento de sitios web. Su servicio Real User Monitoring se basa en un script integrado en las páginas de sus clientes para medir los tiempos de carga y la experiencia de los visitantes.
Tras la compromisión de esta infraestructura, el script legítimo habría sido reemplazado o modificado para incluir un código malicioso. Este verificaba si el visitante estaba conectado a Polymarket y luego intentaba usar su sesión activa para vender sus posiciones y transferir sus activos.
Los investigadores de Hudson Rock detectaron en este código una dirección que servía como destinataria de los fondos. El análisis de la blockchain muestra que 28,6 millones de tokens POL, valorados en aproximadamente 2,57 millones de dólares, fueron luego distribuidos entre varias billeteras.
DebugBear reconoció estar enfrentando «un incidente de seguridad en curso» y pidió a sus clientes retirar su código integrado. Esta dinámica aporta una matiz esencial. El atacante no habría roto Polygon, falsificado una transacción on-chain ni comprometido el contrato principal del mercado predictivo. Habría desviado la capa web usada para preparar y autorizar las operaciones.
Una plataforma puede por tanto seguir siendo técnicamente no depositaria, aun exponiendo a sus usuarios por su interfaz. Cuando el navegador carga un componente externo, este proveedor hereda indirectamente una posición de confianza. Si se ve comprometido, el código mostrado en pantalla puede ser más peligroso que una falla en el protocolo mismo.
Dos ataques similares exponen un riesgo estructural
El episodio es aún más preocupante porque no constituye un caso aislado. En junio, la compromisión de otro proveedor ya permitió inyectar código malicioso en la interfaz de Polymarket. Aproximadamente 3 millones de dólares fueron robados entonces de menos de quince cuentas.
Sumando ambos incidentes, cerca de 5,6 millones de dólares habrían sido desviados en pocos meses a través de proveedores externos. La repetición cambia el debate: el problema ya no es solo un proveedor fallido, sino la manera en que Polymarket controla los scripts ejecutados en su sitio.
La promesa de reembolso limita la pérdida financiera directa para los traders, sin eliminar el riesgo operativo. Una posición vendida durante un mercado volátil no siempre puede ser reconstruida idénticamente. La indemnización deberá definir si cubre solo los fondos desviados o también el valor de las posiciones cerradas contra la voluntad de los usuarios.
El incidente recuerda finalmente que una cartera personal no protege contra todos los escenarios. Una sesión conectada, una autorización aún válida o una firma obtenida mediante una interfaz comprometida pueden ser suficientes. Para Polymarket, el verdadero desafío ahora es reducir las dependencias externas y evitar que una herramienta secundaria pueda nuevamente ordenar operaciones financieras.
¡Maximiza tu experiencia en Cointribune con nuestro programa "Read to Earn"! Por cada artículo que leas, gana puntos y accede a recompensas exclusivas. Regístrate ahora y comienza a acumular beneficios.
Diplômé de Sciences Po Toulouse et titulaire d'une certification consultant blockchain délivrée par Alyra, j'ai rejoint l'aventure Cointribune en 2019. Convaincu du potentiel de la blockchain pour transformer de nombreux secteurs de l'économie, j'ai pris l'engagement de sensibiliser et d'informer le grand public sur cet écosystème en constante évolution. Mon objectif est de permettre à chacun de mieux comprendre la blockchain et de saisir les opportunités qu'elle offre. Je m'efforce chaque jour de fournir une analyse objective de l'actualité, de décrypter les tendances du marché, de relayer les dernières innovations technologiques et de mettre en perspective les enjeux économiques et sociétaux de cette révolution en marche.
Las ideas y opiniones expresadas en este artículo pertenecen al autor y no deben tomarse como consejo de inversión. Haz tu propia investigación antes de tomar cualquier decisión de inversión.