Polymarket suspende la negociación tras una brecha de seguridad de un tercero que compromete cuentas de usuarios
Polymarket suspendió la negociación el 29 de octubre después de que se utilizara un script de terceros comprometido para drenar fondos de cuentas de usuarios. La autopsia de la compañía publicada el 30 de octubre sitúa los reembolsos totales en 3,9 millones de dólares, y reporta que el 95% de las carteras afectadas había sido reembolsado en su totalidad a esa tarde.
Escrito por la redacción de IA de CoinArticle · a partir de 6 fuentes citadas. Cómo trabajamos
La brecha y la respuesta
Polymarket detuvo la negociación el 29 de octubre después de que un proveedor externo fuera comprometido y los usuarios informaran de que sus activos se retiraban de sus cuentas sin autorización. La página de estado de la plataforma mostraba su API de negociación en una interrupción grave, con el exchange en modo solo cancelación, lo que significa que los traders podían retirar órdenes existentes pero no colocar nuevas. También se pausaron las acciones del relayer, que envía a la blockchain las transacciones firmadas de los usuarios.
En una autopsia publicada el 30 de octubre, Polymarket explicó que un script comprometido de monitorización del rendimiento se utilizó para vender posiciones y mover fondos desde algunas sesiones activas. Su respuesta incluyó la eliminación del script, la limpieza de cachés, el restablecimiento de sesiones y la suspensión temporal de la negociación y de la actividad del relayer. La compañía afirmó que había remitido el asunto a las fuerzas del orden competentes.
Pérdidas y reembolsos
Polymarket indicó que devolverá un total de 3,9 millones de dólares: 2,7 millones de dólares vinculados al ataque y 1,2 millones de dólares por pérdidas relacionadas con la pausa de la negociación. La compañía informó de que el 95% de las carteras afectadas había sido reembolsado en su totalidad a la tarde del 30 de octubre. Esa cifra es un informe de la compañía con fecha y hora, y no representa una tasa de finalización en tiempo real ni confirma que todos los importes en disputa se hayan resuelto.
Una cobertura anterior de CCN situaba las pérdidas en aproximadamente 2,73 millones de dólares drenados de 737 cuentas mediante 985 retiradas en unas dos horas. Esas cifras no fueron confirmadas de forma independiente en ese momento. Una secuencia de tantas retiradas en aproximadamente una hora apunta a un drenaje automatizado y no a una actividad manual. Decrypt informó de que una cartera relacionada había recibido intercambios de USDC puenteado a POL, el token nativo de Polygon, a través del servicio multicadena Relay, y los datos de Arkham mostraban que esa cartera tenía unos 2,65 millones de dólares en POL.
Mecanismo del ataque y atribución
Los investigadores de Hudson Rock señalaron que un script cargado desde DebugBear, un servicio de monitorización del rendimiento web, contiene código que busca la sesión de negociación de un usuario conectado e intenta vender posiciones y transferir activos. La firma afirmó que la misma dirección de cartera está codificada en el script como destinatario de reserva, y que el código del sitio de producción de Polymarket registra la eliminación del script. Hudson Rock no ha establecido cómo comenzó el compromiso ni cuántos usuarios resultaron afectados.
Confianza y riesgo de terceros
El incidente pone de relieve una vulnerabilidad estructural de las plataformas de negociación basadas en la web: la dependencia de proveedores externos que suministran código que se ejecuta en los navegadores de los usuarios. La integridad de subrecursos, un mecanismo del navegador descrito en la documentación de Mozilla, puede rechazar archivos que no coincidan con un hash criptográfico esperado, pero no juzga si el código aprobado es seguro, por lo que las plataformas siguen necesitando procesos de revisión y límites sobre lo que los scripts externos pueden acceder.
La pausa plantea una cuestión aparte. Los usuarios con posiciones en mercados sensibles al tiempo pueden haberse visto afectados por la suspensión aunque sus carteras nunca hubieran sido drenadas, y compensar esas pérdidas requiere una marca temporal y un método de valoración definidos. Decrypt señaló que este no es el primer incidente de este tipo en Polymarket este año. En mayo, el compromiso de una clave privada drenó unos 700.000 dólares de una cartera interna de recarga, y un mes después un proveedor comprometido permitió a los hackers inyectar código frontend malicioso que robó unos 3 millones de dólares a menos de 15 cuentas.
Por qué importa
Para los traders
Los usuarios con fondos en Polymarket no pudieron colocar nuevas órdenes ni salir de sus posiciones durante la suspensión, y la cifra de reembolso del 95% es una instantánea informada por la compañía y no una tasa de finalización confirmada.
Para los inversores
Un programa de reembolsos de 3,9 millones de dólares tras el compromiso de un script de terceros, después de un robo previo vinculado a un proveedor este año, pone de relieve riesgos operativos y de custodia recurrentes en las plataformas de mercados de predicción, independientes de su diseño de mercado.
Para los desarrolladores
Los scripts de monitorización y análisis cargados en los frontends de negociación constituyen una superficie de ataque en la cadena de suministro; deben aislarse de los flujos de firma y retirada y acompañarse de comprobaciones de integridad en cada actualización.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
