La plataforma de mercados de predicción Polymarket suspendió sus operaciones durante la noche del 29 de octubre durante aproximadamente una hora tras descubrir que un ataque a un proveedor de terceros había comprometido su plataforma internacional. El incidente, que provocó la pérdida de unos 2,7 millones de dólares en criptomonedas de los usuarios, ilustra un patrón creciente de vulnerabilidades en cadena que afecta a servicios digitales — incluso empresas con cientos de millones en ingresos y miles de millones en transacciones pueden ser vulnerables a vectores de ataque aparentemente simples.
El ataque comenzó alrededor de las 14:00 hora del este cuando Polymarket entró en modo "solo cancelación" y pausó las acciones del relayer — el componente que envía las transacciones firmadas de los usuarios a la blockchain. Los usuarios informaron que se retiraban activos de sus cuentas sin autorización. La plataforma confirmó que uno de sus proveedores de terceros había sido comprometido y que la investigación había sido remitida a las autoridades del Reino Unido.
Polymarket identificó y solucionó el problema alrededor de las 14:37 y anunció que el comercio se reanudaría a las 15:00. A las 15:05, su página de estado marcaba el incidente como resuelto, con todos los sistemas operativos. Pero el daño ya estaba hecho.
El vector de ataque: un script de monitorización de rendimiento
El origen del compromiso fue DebugBear, un servicio de monitorización de rendimiento web con sede en el Reino Unido. DebugBear no es un banco ni un sistema de pago — es una herramienta que analiza la velocidad de carga de páginas web para los propietarios de sitios. El tipo de servicio que miles de empresas usan diariamente y que prácticamente nadie considera como una superficie de ataque.
Según Hudson Rock, una empresa de ciberseguridad que analizó el incidente, un script cargado desde DebugBear contenía código diseñado para buscar sesiones de trading autenticadas de Polymarket, intentar liquidar las posiciones de los usuarios y transferir los activos a una billetera controlada por el atacante. El JavaScript malicioso, al ejecutarse en el navegador de cualquier usuario que visitara la plataforma en ese momento, intentaba automáticamente vender posiciones del mercado de predicción y transferir criptomonedas.
La dirección de la billetera del sospechoso atacante, identificada como 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, estaba incrustada directamente en el script como destinatario de respaldo. Los registros de blockchain muestran que la billetera realizó numerosas transacciones involucrando el token de mercado de predicción de Polymarket entre las 13:50 y las 13:56 ET, poco antes de la suspensión del comercio.
Los datos de la plataforma de análisis de blockchain Arkham mostraron que la billetera del atacante contenía aproximadamente 2,65 millones de dólares en POL — el token nativo de Polygon — tras múltiples intercambios de USDC.e a POL a través del servicio cross-chain Relay.
Un patrón que se repite
Este no es el primer incidente de seguridad de Polymarket en 2026. El 25 de junio, la plataforma reportó que un proveedor de terceros había sido comprometido y que un script malicioso había inyectado código en el frontend, robando aproximadamente 3 millones de dólares de menos de 15 cuentas. Un mes antes, en mayo, un compromiso de clave privada drenó aproximadamente 700.000 dólares de una billetera interna de recarga.
En los tres casos — mayo, junio y octubre — el resultado fue el mismo: pérdida de fondos de los usuarios, Polymarket prometiendo reembolso total y el atacante desapareciendo en la blockchain. La diferencia es que el incidente de octubre fue el más amplio hasta ahora, afectando no solo a decenas de cuentas, sino potencialmente a todos los usuarios de la plataforma internacional.
Lo instructivo de este incidente no es solo el monto robado, sino la naturaleza del vector de ataque. No se trató de una explotación sofisticada de los contratos inteligentes de Polymarket. No hubo compromiso de la blockchain en sí. En cambio, fue un ataque a la experiencia del usuario — un script cargado desde una herramienta de monitorización de rendimiento que, una vez ejecutado en el navegador, tenía acceso a sesiones autenticadas.
El problema de la cadena de suministro en servicios digitales
El caso de Polymarket expone una verdad incómoda sobre la infraestructura moderna: la seguridad de un servicio digital depende de la seguridad de sus proveedores tanto como de la propia. Y cuando el proveedor comprometido es una herramienta aparentemente inofensiva de monitorización web, la superficie de ataque se expande a cada empresa que usa ese servicio.
DebugBear no divulgó detalles adicionales sobre el incidente más allá de confirmar que estaba "siendo impactada por un incidente de seguridad en curso" y pedir a los clientes que eliminaran sus códigos de inserción inmediatamente. La empresa no reveló cuántas otras compañías fueron afectadas o si Polymarket era su único cliente comprometido.
Lo particularmente frustrante para los investigadores es que Polymarket, a diferencia de los exchanges de criptografía tradicionales, no almacena fondos de los usuarios en billeteras centralizadas. Los usuarios interactúan con la plataforma a través de billeteras auto-custodias. El ataque no explotó los contratos inteligentes de Polymarket — explotó la sesión del navegador del usuario. Esto significa que, técnicamente, los fondos nunca estuvieron en riesgo de ser drenados de la blockchain; fueron drenados porque el script malicioso ejecutaba transacciones firmadas automáticamente.
¿Qué viene ahora?
Polymarket ya reembolsó a todos los afectados y reanudó las operaciones. Pero el incidente plantea preguntas importantes sobre la seguridad de las plataformas financieras basadas en blockchain. En un sector donde la seguridad del código se presenta frecuentemente como la solución a los riesgos de los intermediarios financieros, un ataque que explota un simple script JavaScript es un recordatorio de que la superficie de ataque más peligrosa sigue siendo la interfaz del usuario.
Polygon, la blockchain sobre la cual opera Polymarket, no fue afectada por el incidente. Los contratos inteligentes de la plataforma continuaron operando normalmente. El problema fue exclusivamente frontend: la experiencia del usuario que, al visitar el sitio, cargó un script comprometido que explotaba la confianza de la sesión autenticada.
Queda por saber si este tipo de ataque — explotando cadenas de suministro de software a través de un único proveedor de terceros — se convertirá en el nuevo patrón para los crímenes financieros en blockchain, y si las plataformas de mercados de predicción, operando en un entorno regulatorio cada vez más hostil, podrán defenderse contra vectores tan ampliamente replicables.
Fuentes: CNBC, Bleeping Computer, Decrypt
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
