La plataforma de mercados predictivos Polymarket suspendió sus operaciones durante aproximadamente una hora después de detectar un ataque informático que permitió desviar al menos u$s2,6 millones pertenecientes a sus usuarios.
La vulnerabilidad no estaba en la blockchain, sino en un proveedor tecnológico externo cuya integración con el sitio permitió introducir instrucciones capaces de ejecutar operaciones sin autorización.
El incidente comenzó el 29 de octubre en Polymarket.com, cuando usuarios denunciaron ventas de posiciones y transferencias de activos que no habían autorizado, tras detectar movimientos inesperados dentro de sus cuentas.
Entre los testimonios, un usuario afirmó haber perdido u$s800.000 y otra cuenta habría sido vaciada por u$s600.000, dos casos que reflejaron la magnitud de las denuncias recibidas durante el episodio.
La plataforma respondió activando el modo "solo cancelar", que permitía anular órdenes existentes, pero impedía abrir nuevas posiciones mientras se investigaba el episodio y se intentaba contener el ataque desde el sitio.
También suspendió el servicio encargado de enviar transacciones firmadas a la blockchain, una medida destinada a frenar nuevos movimientos y evitar que continuaran las transferencias no autorizadas hacia otras billeteras.
La reconstrucción preliminar indica que un componente externo fue comprometido y que un código JavaScript malicioso habría identificado sesiones abiertas para operar desde ellas sin autorización de sus titulares conectados.
Los atacantes habrían vendido posiciones y enviado los activos a una dirección bajo su control; las primeras estimaciones calculan más de 700 cuentas afectadas y pérdidas superiores a u$s2,6 millones.
Tras una hora, Polymarket anunció que había corregido el problema, restablecido todos sus servicios y entregado el caso a las autoridades británicas, mientras prometía compensar a todos los usuarios afectados.
La compañía aseguró en un comunicado que: "Cualquier persona afectada será indemnizada íntegramente", aunque no explicó cómo calculará los reembolsos ni si cubrirá las pérdidas adicionales derivadas de posiciones vendidas involuntariamente.
Los primeros análisis on-chain señalaron a DebugBear, una empresa británica especializada en monitorear el rendimiento de sitios web; su servicio Real User Monitoring mide tiempos de carga mediante un script integrado.
Según la hipótesis investigada, los atacantes comprometieron esa infraestructura y modificaron el script legítimo para insertar instrucciones maliciosas en la interfaz de Polymarket, donde el código detectaba sesiones previamente iniciadas.
Al encontrar una sesión activa, el código intentaba vender las posiciones del usuario y transferir los activos resultantes; investigadores de Hudson Rock identificaron en él una dirección que recibía los fondos sustraídos.
El análisis de la blockchain registró 28,6 millones de tokens POL, valuados en aproximadamente u$s2,57 millones, que posteriormente fueron distribuidos entre distintas billeteras, según el rastreo público de las operaciones.
DebugBear reconoció estar atravesando "un incidente de seguridad en curso" y pidió a sus clientes retirar el código integrado en sus propias páginas web afectadas; los primeros indicios no apuntan a una vulneración directa de Polygon.
El ataque tampoco habría falsificado transacciones on-chain ni comprometido el contrato principal del mercado predictivo: la debilidad estaba en la capa web que prepara y autoriza operaciones, no en el protocolo blockchain.
El episodio resulta especialmente preocupante porque en junio otro proveedor comprometido permitió inyectar código malicioso en la interfaz de Polymarket y provocó el robo de aproximadamente u$s3 millones de menos de quince cuentas.
Al sumar ambos incidentes, cerca de u$s5,6 millones habrían sido desviados en pocos meses mediante servicios externos, una repetición que obliga a revisar cómo la plataforma selecciona y supervisa esos proveedores.
La promesa de reembolso puede reducir las pérdidas directas, pero no resuelve el perjuicio de quienes vieron cerrar posiciones durante mercados volátiles; devolver los activos no garantiza reconstruir su valor previo.
Polymarket deberá aclarar si indemnizará únicamente los fondos transferidos o también las diferencias de valor de las posiciones cerradas sin autorización, mientras revisa sus dependencias y controles tecnológicos.
El incidente recuerda que una billetera personal no protege frente a todos los escenarios: una sesión conectada, una autorización vigente o una interfaz comprometida pueden bastar para habilitar operaciones perjudiciales.