Robaron 2,7 millones de dólares y tuvieron que pagar 3,9 millones: Polymarket tasó el código malicioso

Los hackers retiraron 2,7 millones de dólares de las cuentas de usuarios de Polymarket, pero las consecuencias del ataque le salieron aún más caras a la plataforma. La empresa decidió reembolsar a los operadores 3,9 millones de dólares, incluyendo compensaciones a quienes perdieron dinero por la suspensión obligatoria de las operaciones.

El incidente ocurrió el 29 de octubre de 2026 en la plataforma internacional Polymarket, donde los usuarios negocian contratos sobre el resultado de distintos eventos. Los atacantes sustituyeron un JavaScript de terceros destinado a medir la velocidad del sitio. El código malicioso se ejecutaba directamente en los navegadores de los visitantes y tenía acceso a las sesiones de trading ya abiertas.

El instrumento afectado fue Real User Monitoring de la empresa DebugBear. La investigación mostró que los atacantes modificaron los registros DNS del servicio a través del registrador de dominio, redirigiendo la carga del script a otro servidor. Los resultados preliminares de la investigación de DebugBear no detectaron una intrusión en la infraestructura interna de la empresa. Según la información disponible, los atacantes dirigieron su ataque contra un cliente.

El script malicioso comprobaba si el visitante estaba autenticado en Polymarket, examinaba sus activos y utilizaba los mecanismos habituales de trading. Según el tipo de cuenta, el programa podía transferir posiciones a una dirección controlada o, primero, vender los contratos y luego retirar los fondos. Los investigadores no encontraron indicios de robo directo de claves privadas o contraseñas.

Se supo del hackeo de Polymarket ya el 29 de octubre. Entonces la plataforma prohibió temporalmente las operaciones nuevas, dejando la posibilidad de cancelar órdenes, y suspendió las operaciones a través del servicio de transferencia de transacciones. Tras eliminar el componente peligroso, la empresa limpió las cachés, finalizó las sesiones activas de los usuarios y reanudó las operaciones.

La magnitud del incidente fue considerable. Según el análisis de la cadena de bloques, los investigadores detectaron alrededor de 28,6 millones de tokens POL enviados a una cartera vinculada al ataque. Su valor se estimó en aproximadamente 2,64 millones de dólares. Para el 30 de octubre, Polymarket había compensado completamente las pérdidas a los propietarios del 95 % de las carteras afectadas, y las restantes compensaciones seguían en revisión.

La empresa decidió recomponer no solo los fondos extraídos, sino también el valor de las posiciones vendidas a la fuerza, teniendo en cuenta las pérdidas por el precio de ejecución desfavorable. Además, Polymarket cubre las pérdidas de los usuarios cuyos contratos perdieron valor durante la suspensión de las operaciones o tras su reanudación inmediata. Para estas compensaciones se destinaron otros 1,2 millones de dólares.

En el informe sobre el ataque publicado el 30 de octubre, Polymarket estimó el volumen total de reembolsos en 3,9 millones de dólares. Los usuarios no necesitan presentar reclamaciones, ya que la empresa identificó las carteras afectadas según el historial de transacciones y de operaciones en la cadena de bloques. Para quienes no estén de acuerdo con el cálculo o no hayan recibido el pago, hay un formulario de reclamación separado.

Tras el incidente, Polymarket reforzó el control de los scripts de terceros, incluida una política de Content Security Policy más estricta, la fijación de versiones y el aislamiento del código. La empresa también facilitó información a las autoridades. El ataque demostró que incluso una herramienta común de monitorización del rendimiento puede poner en riesgo los fondos de los usuarios de un servicio financiero.