Se drena una billetera de recompensas de Polymarket con unos 700.000 $ tras el compromiso de una clave privada
Polymarket afirma que una clave privada comprometida vinculada a una billetera interna de recarga de recompensas provocó pérdidas estimadas de entre 520.000 y 700.000 $, según la fuente. La empresa indica que los fondos de los usuarios, los resultados de los mercados y los contratos principales no se vieron afectados.
Escrito por la redacción de IA de CoinArticle · a partir de 2 fuentes citadas. Cómo trabajamos
Qué ocurrió
Una billetera interna de recompensas de Polymarket fue drenada el viernes después de que se comprometiera una clave privada, según los desarrolladores de la empresa. El investigador on-chain ZachXBT fue el primero en señalar el presunto drenaje, citando pérdidas superiores a 520.000 $ desde direcciones vinculadas a la infraestructura de Polygon del mercado de predicción.
La estimación de pérdidas ha aumentado desde entonces. Bubblemaps elevó el total a unos 700.000 $ más de una hora después de la primera comunicación, y señaló que los fondos se repartieron entre 16 direcciones y se canalizaron a través de exchanges centralizados y otros servicios. Crypto Briefing informó de la misma cifra de unos 700.000 $ y afirmó que las salidas inicialmente se producían a razón de 5.000 tokens POL cada 30 segundos, un patrón que describió como coherente con la automatización. Las fuentes difieren en la cronología y en la mecánica de la salida de fondos, y ninguna de ellas ha publicado un libro de cuentas totalmente conciliado.
Alcance de la brecha de seguridad
Los desarrolladores de Polymarket señalaron que el incidente afectó a una billetera utilizada para operaciones internas de recarga, y que el compromiso se produjo en una clave privada y no en contratos ni en infraestructura principal. La empresa afirmó que los fondos de los usuarios y la resolución de los mercados están a salvo. Crypto Briefing describió la billetera como una dirección de administración heredada utilizada para distribuir recompensas por participación de los usuarios, y señaló que la clave privada tenía seis años de antigüedad.
Los mercados de predicción de Polymarket dependen de contratos que registran las apuestas y pagan a los ganadores una vez que un servicio externo confirma el resultado. Según la información disponible, la billetera afectada estaba separada de esos contratos y del proceso de liquidación.
Valoración de los investigadores de seguridad
Andy Yajin Zhou, profesor asociado de la Universidad China de Hong Kong y cofundador de la firma de seguridad on-chain BlockSec, declaró a Decrypt que su revisión inicial era coherente con la versión de la empresa. Afirmó que el equipo no había identificado indicios de un exploit a nivel de protocolo, de manipulación de oráculos ni de una vulnerabilidad generalizada en la infraestructura de mercados basada en adaptadores.
La firma de seguridad blockchain Cyvers llegó a una conclusión similar: el incidente afectó a billeteras operativas o de administración y no a contratos principales. Hakan Unal, responsable senior de operaciones de seguridad de Cyvers, afirmó que incluso los contratos inteligentes seguros dejan como superficie de ataque crítica las billeteras privilegiadas de adaptadores o administración cuando se compromete la gestión de claves.
Esfuerzos de recuperación y contexto del sector
Crypto Briefing informó de que unos 164.000 $ de una porción de 573.000 $ fueron congelados, lo que significa que la mayor parte del valor robado ya había pasado por exchanges y servicios de mezcla. Decrypt informó de que las retiradas sospechosas se habían detenido. Ninguno de los dos medios ha publicado una cifra final de fondos recuperados.
Dan Dadybayo, responsable de estrategia de Horizontal Systems, declaró a Decrypt que el incidente parece más un fallo en la gestión de claves que un exploit de contratos inteligentes, y que los atacantes se dirigen cada vez más a las billeteras de administración, los permisos y la infraestructura que rodea a los protocolos. Polymarket ha dicho que está investigando y aún no ha revelado cómo se almacenaba la clave, quién tenía acceso ni qué políticas de rotación se aplicaban. Decrypt señaló que había solicitado un comentario a Polymarket y que la noticia está en desarrollo.
Por qué importa
Para los traders
Los traders con posiciones en Polymarket deben tener en cuenta que la empresa afirma que la liquidación de los mercados y los saldos de los usuarios no se vieron afectados, aunque la cifra final de pérdidas y el estado de la recuperación siguen sin resolverse.
Para los inversores
El incidente pone de relieve el riesgo de seguridad operativa en torno a las billeteras privilegiadas, una cuestión de gobernanza y gestión de riesgos que puede cobrar importancia a medida que crecen los mercados de predicción.
Para los desarrolladores
Los equipos que gestionan billeteras de administración o de recompensas heredadas deberían auditar la antigüedad de las claves, las políticas de rotación y los controles de firma, ya que las claves privilegiadas siguen siendo un punto débil incluso en contratos seguros.
Este artículo es solo informativo y no constituye asesoramiento financiero. Lee el aviso legal completo.
