Hackean Polymarket y vacían cuentas que ocasionaron pérdidas de 2.6 millones de dólares

La plataforma mundial de mercados de predicción Polymarket suspendió sus operaciones este 29 de octubre durante casi una hora, tras sufrir una brecha de seguridad originada en un software de terceros, la cual, le ocasionó pérdidas de 2.6 millones de dólares en fondos de usuarios.

De acuerdo con estimaciones de la firma de análisis blockchain Arkham, el hackeo de Polymarket habría derivado en el robo de millones de dólares en criptomonedas de las billeteras de los usuarios, lo que encendió las alarmas en el sector de los activos digitales.

De acuerdo con fuentes cercanas a la investigación, los atacantes lograron vulnerar los fondos aprovechando una falla en DebugBear, una herramienta externa de rendimiento y analítica web, que confirmó estar atravesando un "incidente de seguridad en desarrollo". 

Tras identificar y corregir la falla en su portal internacional, Polymarket notificó formalmente a las autoridades del Reino Unido, país desde donde presuntamente se habría originado el ciberataque.

Pese al reporte emitido por usuarios, quienes denunciaron el vaciado de sus monederos en canales comunitarios como Discord, la compañía se comprometió públicamente a cubrir el 100 % de los daños. 

A través de un mensaje en la red social X, la empresa aseguró que reembolsará por completo a todos los comerciantes perjudicados, buscando llevar tranquilidad a sus clientes mientras se reestablecía el funcionamiento habitual de la plataforma.

Una billetera señalada como el presunto atacante concentra unos 2.65 millones de dólares en Polygon Ecosystem Token (POL), el token nativo de Polygon, según datos de la firma de análisis on-chain Arkham.

Cabe señalar que, Polymarket no especificó cómo se vieron afectados los usuarios, quién era el proveedor, ni qué provocó la interrupción del servicio.

De acuerdo con los reportes de investigación, las primeras alertas surgieron de los propios usuarios. Algunos detectaron movimientos de saldo que no reconocían y lo hicieron público en redes sociales. La cuenta CarOnPolymarket también se refirió al incidente en un mensaje en X, minutos antes del aviso corporativo.

La pieza más concreta, hasta el momento, está en la cadena. La dirección 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, visible en el explorador Polygonscan, fue identificada como la billetera sospechosa. 

La decisión de frenar el relayer no es menor, ya que, en Polymarket, el relayer es el servicio que envía transacciones a la red en nombre de los usuarios, de modo que estos no tienen que pagar comisiones de gas ni firmar cada operación directamente en Polygon. Al detenerlo, la plataforma corta una de las vías por las que podrían seguir moviéndose fondos mientras se determina el origen del problema.

La firma de ciberinteligencia Hudson Rock publicó un análisis en el que afirma haber encontrado código diseñado para vaciar billeteras dentro de un script de terceros vinculado al sitio. 

Por lo que, si esa hipótesis se confirma, el ataque no habría explotado los contratos inteligentes de Polymarket, sino una dependencia externa cargada en su interfaz web.

Los llamados ataques a la cadena de suministro aprovechan bibliotecas o servicios que un sitio integra (analítica, widgets, herramientas de soporte) para inyectar código malicioso en el navegador del usuario. 

El resultado puede ser el mismo que un fallo de contrato: transacciones firmadas sin que la víctima entienda lo que está aprobando. Polymarket, de momento, no ha validado públicamente esa explicación.

El incidente llega en un momento delicado para el sector, ya que, los mercados de predicción viven un auge de volumen y de capital. Incluso, su principal competidor regulado en Estados Unidos, Kalshi, vio cómo su valoración subía a 40 mil millones de dólares tras una ronda de financiación reciente. 

Las ligas deportivas, mientras tanto, discuten cómo relacionarse con estas plataformas, con la NBA abriendo la puerta y la NFL frenando su avance.