Compromiso de Polymarket vía un proveedor externo: un script inyectado drena cerca de 2,7 millones de dólares de las carteras de los usuarios
Polymarket, el mercado de predicciones cripto, suspendió brevemente la operativa después de que un script malicioso introducido a través de un proveedor externo comprometido comenzara a drenar fondos de las carteras de los usuarios. El monitoreo on-chain de Bubblemaps sitúa las pérdidas en unos 2,7 millones de dólares entre unos 700 usuarios, cifras que la empresa no ha confirmado. La operativa ya se ha reanudado, y Polymarket afirma que los usuarios afectados serán reembolsados.
Un frontend de confianza se volvió hostil
Según reportajes que citan fuentes del Wall Street Journal e investigadores de seguridad blockchain, un script servido por un proveedor de monitorización de rendimiento web fue alterado para identificar a los visitantes con una sesión de trading activa e iniciada. Investigadores de Hudson Rock dijeron que el código estaba diseñado para liquidar las posiciones y enviar el producto a una dirección controlada por los atacantes e incrustada en el propio script. Un funcionario citado por el Journal identificó a DebugBear, una empresa británica de monitorización de rendimiento web como el proveedor implicado; la empresa indicó haber sido afectada por un incidente de seguridad y pidió a sus clientes que retiraran su código de inserción. Esa atribución sigue siendo una sospecha publicada y no un hallazgo confirmado, aunque Polymarket ha dicho que su propio sitio no fue comprometido. El drenaje en sí fue trazado por Bubblemaps, cuyos analistas estimaron que se sustrajeron unos 2,7 millones de dólares de unas 712 carteras de depósito antes de que se cortara el flujo. Los fondos robados se convirtieron en POL, el token nativo de Polygon, y se dispersaron en una cadena de direcciones. Polymarket no ha confirmado las cifras del monitoreo, y el mismo trabajo on-chain reveló que una afirmación muy compartida sobre una pérdida personal de 800.000 dólares no se sostuvo, porque el patrón de retiros de esa cartera difería del de las demás víctimas.«Lo vamos a arreglar y estamos reembolsando íntegramente a todos los traders afectados.»Esa promesa llegó mientras el exchange atravesaba el incidente por fases: primero un modo de solo cancelación en el que las órdenes abiertas podían retirarse pero no se podían colocar nuevas, después una suspensión de su servicio de envío de transacciones y, finalmente, la restauración completa de la operativa. Polymarket remitió el asunto a las autoridades policiales del Reino Unido, donde tiene su sede el proveedor, y afirmó que Polymarket US, la plataforma estadounidense regulada por separado, no se vio afectada.
Segundo compromiso de origen externo del año
Para Polymarket, este es el segundo compromiso de 2026 que se origina en un proveedor y no en su propia infraestructura. En junio, la empresa reveló que un proveedor externo había sido comprometido, inyectando un script malicioso en su frontend para algunos usuarios. El PUSD robado, el token de liquidación de Polymarket, fue transferido por puente de Polygon a Ethereum y convertido en unos 1.893 ETH, un botín estimado en 2,94 millones de dólares. Aquel drenaje anterior afectó a un grupo mucho más reducido, entre once y quince cuentas, pero siguió la misma lógica: código que llega por un canal confiable y se ejecuta dentro de las páginas de un sitio del que los usuarios no tenían razón alguna para dudar. Un incidente en mayo, en el que se drenaron unos 700.000 dólares de una cartera interna de recargas mediante una clave privada comprometida, queda fuera de ese patrón de proveedores. Aun así apunta en la misma dirección: la seguridad de los fondos de los usuarios en una plataforma de trading va mucho más allá del perímetro propio de la plataforma.Por qué los ataques de cadena de suministro al frontend funcionan tan bien
Un dominio legítimo con años de historia puede servir código hostil durante horas antes de que alguien lo note, y ninguna alerta de phishing se disparará, porque nada en la página es falso. El candado, el marcador, la ortografía correcta de la dirección siguen diciendo «confía en mí». Ambos incidentes de Polymarket usaron exactamente esa confianza como superficie de ataque, y eso es lo que separa esta clase de ataque del phishing ordinario y lo hace más difícil de detectar en el momento.- Mantén saldos pequeños en hot wallets conectadas al navegador y trátalos como dinero de gastos, no como ahorros.
- Prefiere carteras de hardware o protecciones de wallet que simulen transacciones y marquen aprobaciones inesperadas antes de firmarlas.
- Revisa periódicamente las aprobaciones de tokens vigentes y revoca lo que ya no necesites.
- Cuando una plataforma anuncie un compromiso de frontend o de un proveedor, cierra sesión, finaliza las demás sesiones y considera que todo lo firmado durante la ventana del incidente merece revisarse.