Unas 737 cuentas de Polymarket fueron vaciadas el jueves 29 de octubre por un importe estimado de US$2,73 millones, según el análisis on-chain de Bitquery. El ataque se ejecutó mediante un script incorporado en la página a través de un proveedor externo y, de acuerdo con los investigadores, no exigió ninguna acción por parte de los usuarios: bastaba con que mantuvieran una sesión abierta.
Los retiros se concentraron en una hora
Los movimientos identificados por Bitquery se produjeron entre las 17:10 y las 18:10 UTC. El mayor retiro ascendió a US$358.369 y salió de la cuenta “hewhodoesit” a las 18:00 UTC.
Las cifras varían según la fuente y el método de cálculo. Arkham estimó, a través de The Block, que una billetera vinculada al atacante recibió unos US$2,65 millones en POL. Betting Intelligence y Polysights situaron las pérdidas en al menos US$2,7 millones, repartidos entre 710 billeteras. No existe por ahora un total oficial comunicado por Polymarket.
The Block señaló que los fondos de la billetera relacionada con el atacante procedían de varios intercambios de USDC.e por POL realizados mediante Relay. Posteriormente, esos activos fueron transferidos a otras direcciones.
El incidente tampoco quedó completamente despejado tras el anuncio inicial de la plataforma. A las 19:11 UTC, una cuenta que ya había sido vaciada perdió otros US$10,99. Bitquery consideró ese movimiento un posible indicio de que la vulnerabilidad seguía activa en ese momento.
El código aprovechó sesiones abiertas
Hudson Rock localizó el código utilizado para drenar las billeteras en un script servido desde DebugBear, una herramienta de monitorización del rendimiento de sitios web. Según el análisis resumido por Cybersecurity News, el código no se limitaba a medir la velocidad de carga: buscaba sesiones de trading activas y leía información almacenada en el navegador, incluida la dirección de la billetera y las credenciales de la API de trading.
En función del tipo de cuenta, el script intentaba transferir directamente las posiciones o venderlas antes de mover el saldo. Hudson Rock indicó que los contratos inteligentes no fueron alterados. La firma tampoco ha determinado cómo comenzó el compromiso ni cuántos usuarios pudieron quedar expuestos.
Polymarket no identificó públicamente al proveedor afectado. DebugBear afirmó en X que estaba afectada por “un incidente de seguridad en curso” y pidió a sus clientes que retiraran de sus sitios el código de su producto de monitorización. La empresa no ha confirmado que su script fuera el origen del robo.
Polymarket promete compensar a los afectados
Tras detectar el incidente, Polymarket pasó a un modo de “solo cancelar” y pausó su relayer, el sistema encargado de enviar las transacciones de los usuarios. La plataforma afirmó que uno de sus proveedores externos había sido comprometido, informó de que había remitido el caso a las autoridades y aseguró que compensaría por completo a quienes hubieran sufrido pérdidas.
Las operaciones se reanudaron hacia las 15:00, hora de Nueva York. Según CNBC, el caso fue comunicado a las autoridades del Reino Unido y la plataforma estadounidense de Polymarket no resultó afectada. El mismo medio citó mensajes publicados en el Discord de la compañía según los cuales las pérdidas inferiores a US$10.000 se devolverían el 30 de octubre, mientras que las de mayor cuantía requerirían firmar un documento de renuncia. Polymarket no ha confirmado públicamente esas condiciones.
El episodio recuerda a otro incidente ocurrido en junio, cuando el compromiso de un proveedor externo permitió inyectar código en la web de Polymarket y sustraer unos US$3 millones de menos de 15 cuentas, según Decrypt. Para los usuarios en España, además, la plataforma permanece bloqueada desde mayo. Otro trader identificado como CarOnPolymarket afirmó que le habían drenado US$800.000, aunque esa cantidad no ha sido verificada.
