La plataforma de mercados de previsões Polymarket se vio obligada a suspender temporalmente sus operaciones el miércoles 29 de octubre, tras comprometer hackers un proveedor de software tercero y lograr drenar fondos de criptomonedas de las billeteras de algunos usuarios. El incidente, que duró aproximadamente una hora, pone de manifiesto una amenaza creciente en el ecosistema de criptoactivos: ya no son los protocolos propios de la plataforma los que son blancos, sino la cadena de suministro de software en la que dependen.
Polymarket anunció el incidente a las 14:05 hora del Este (ET), colocando su plataforma internacional en modo "solo cancelación" y pausando las acciones de los relays mientras investigaba. A las 14:37, la empresa anunció que el problema había sido resuelto y que las operaciones se suspendían "por exceso de precaución". Las operaciones se reanudaron aproximadamente una hora después, con el incidente marcado como resuelto a las 15:05 ET. "Las operaciones están completamente de vuelta", escribió Polymarket en un post en la red social X. "Vamos a resolver esto y reembolsar totalmente a todos los traders afectados."
El ataque explotó DebugBear, un servicio británico de monitoreo de rendimiento web que provee JavaScript de "Real User Monitoring" (RUM). Polymarket tenía un fragmento del DebugBear incrustado en su sitio web, y los hackers inyectaron código malicioso en la versión distribuida por ese servicio. El script malicioso, alojado en `cdn.debugbear.com`, fue construido el 29 de octubre a las 13:59 ET, minutos antes de que Polymarket anunciara públicamente el incidente.
Investigadores de seguridad de Hudson Rock identificaron JavaScript malicioso distribuido a través de `cdn.debugbear.com/C7xcKKrjUnXK.js` diseñado para secuestrar sesiones de trading autenticadas de Polymarket, liquidar las posiciones de los usuarios en mercados de previsões y transferir criptomonedas y otros activos a una billetera controlada por los atacantes. El malware también intentaba convertir las criptomonedas de los usuarios en activos que podrían ser transferidos a la billetera de los hackers, usando la propia funcionalidad de transacciones existentes de Polymarket en su contra.
El análisis de BleepingComputer reveló que el script malicioso se comunicaba con `data.debugbear.com` para recibir instrucciones y enviar datos sobre cuentas objetivo, direcciones de billetera, balances y resultados de transacciones. El uso de la infraestructura del DebugBear tanto para distribuir el script malicioso como para servir como servidor de comando y control (C2) plantea preguntas sobre el alcance del acceso que los atacantes tenían a los sistemas de la empresa.
Investigadores de Hudson Rock identificaron una billetera sospechosa controlada por los atacantes (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18) incrustada en el código malicioso. El análisis de blockchain de BleepingComputer mostró que la billetera transfirió aproximadamente 28,6 millones de tokens POL, valorados en cerca de $2,57 millones, a tres billeteras adicionales. Registros de blockchain muestran que la billetera realizó innumerables transacciones involucrando el contrato de token de mercado de previsões de Polymarket entre las 13:50 y las 13:56 ET, poco antes de que la plataforma suspendiera las operaciones.
Polymarket no ha divulgado cuántos usuarios fueron afectados, cuánto exactamente fue robado ni cómo funcionará el proceso de reembolso. El CEO Shayne Coplan confirmó a CNBC y otras publicaciones que la empresa refirió el incidente a las autoridades británicas, dado que DebugBear es una empresa del Reino Unido.
Este es el segundo caso en pocos meses que Polymarket es blanco de ataques de vaciado de billeteras. En mayo, un compromiso de clave privada drenó cerca de $700.000 de una billetera interna de recarga. En junio, la plataforma reportó que hackers habían drenado más de $2,9 millones en fondos de usuarios al comprometer un proveedor tercero. La recurrencia plantea preguntas serias sobre la seguridad del ecosistema de mercados de previsões y la vulnerabilidad sistémica que proveedores terceros representan para plataformas financieras de criptoactivos.
El caso del DebugBear ilustra un patrón cada vez más común en el cibercrimen: en vez de intentar quebrar directamente la seguridad robusta de una plataforma, los atacantes apuntan a los eslabones más débiles de su cadena de suministro. La estrategia es la misma que llevó al compromiso SolarWinds en 2020, donde un único punto de fallo en la cadena de suministro permitió acceso a miles de organizaciones. En el caso de Polymarket, un único fragmento de JavaScript inyectado por un proveedor de monitoreo web fue suficiente para vaciar millones de dólares en minutos.
Lo que permanece poco claro es el alcance de este último compromiso. A diferencia del hack de Binance a principios de mes, que involucró una laptop directamente comprometida y fue atribuido a actores estatales norcoreanos, el ataque de Polymarket explotó un vector de cadena de suministro que podría afectar cualquier sitio web que dependa del servicio de monitoreo del DebugBear. La pregunta para la industria cripto más amplia es si las plataformas comenzarán a exigir estándares de seguridad de proveedores más estrictos, o si el modelo de compromiso de terceros continuará demostrando ser la ruta de menor resistencia para los atacantes.
Fuentes: Bloomberg, CNBC, BleepingComputer
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
