• La página de estado registró el incidente a las 18:05 UTC como una interrupción grave de la API de operaciones de Predictions.
• Un operador llamado Car informó de una pérdida de 800.000 dólares y dijo que se habían vendido todas sus posiciones.
• Según estimaciones no verificadas, una billetera presuntamente receptora alcanzó un máximo de 2,68 millones de dólares a las 18:05 UTC.
Se suspenden las operaciones en la plataforma internacional
Polymarket suspendió el jueves todas las operaciones en su plataforma internacional después de que un proveedor externo se viera comprometido y los usuarios informaran que habían visto cómo vaciaban sus cuentas. Según la página de estado de la empresa, el problema que afectaba a Polymarket.com fue identificado y solucionado, el proveedor comprometido fue remitido a las autoridades policiales competentes y se “resarcirá íntegramente” a los usuarios afectados. La plataforma de intercambio no reveló cuántas cuentas fueron afectadas ni el valor total sustraído. La suspensión abarca el servicio internacional basado en billeteras, donde los usuarios operan en mercados de predicción desde cuentas de autocustodia; la plataforma de intercambio estadounidense, regulada por separado y que opera bajo una licencia de la Commodity Futures Trading Commission (CFTC), no figura entre las afectadas. Una cuenta gestionada por la comunidad publicó en X un comunicado casi idéntico poco después de la actualización de la página de estado, con una redacción coincidente con la oficial. Al momento de la publicación, no se había anunciado un calendario para restablecer por completo las operaciones.
Actualización (29 oct., 19:11 UTC): La misma dirección, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, está codificada en el script como destinatario alternativo, y los datos en cadena muestran que la billetera del presunto atacante tiene unos 2,65 millones de dólares en POL después de varios intercambios de USDC.e por POL a través de Relay.
Modo de solo cancelación a las 18:05 UTC
La página de estado señaló por primera vez el incidente el jueves a las 18:05 UTC y lo clasificó como una interrupción importante de la API de trading de Predictions, el libro de órdenes que empareja las operaciones de los mercados de predicción. En ese momento, el exchange estaba en modo de solo cancelación: los usuarios podían cancelar órdenes existentes, pero no se procesaban órdenes ni operaciones nuevas, y las acciones del relayer —el servicio que envía transacciones en cadena en nombre de los usuarios— permanecían en pausa. El acceso a las cuentas, los feeds de websocket, los datos de posiciones y la liquidación en Polygon siguieron funcionando durante todo el incidente. Unos 32 minutos después, a las 18:37 UTC, la página pasó de «investigando» a «identificado» y atribuyó el fallo al proveedor externo comprometido. El único tipo de orden permitido era la cancelación de órdenes abiertas mientras el motor de emparejamiento permanecía inactivo, lo que dejó sin poder salir a los operadores con posiciones abiertas.
Pérdidas de usuarios y la reclamación de 2,68 millones de dólares
Los informes sobre el vaciado de fondos empezaron a circular en X antes de que la empresa confirmara nada. Un operador que usa el nombre Car dijo en una publicación en X que le habían sustraído 800.000 dólares de su cuenta y que un amigo había perdido 600.000 dólares; añadió que habían vendido todas sus posiciones. Otra cuenta, StarPlatinum, rastreó una billetera que presuntamente recibió fondos por primera vez a las 17:05 UTC; tenía 412.000 dólares a las 17:25, llegó a 2,02 millones a las 17:50 y alcanzó un máximo de 2,68 millones a las 18:05. También estimó que el destinatario había acumulado 28,6 millones de POL convertidos a partir de los saldos de depósito de los usuarios. Esa cuenta también identificó un proxy de Deposit Wallet Factory y alegó que estaba implicada la infraestructura de transacciones patrocinadas de Relay. Ninguna de estas cifras está confirmada: los comunicados de la empresa no indican el número de víctimas, el total de las pérdidas ni la dirección del atacante, y no se ha publicado ningún hash de transacción.
El ataque de junio al frontend y un precedente de reembolso
El episodio recuerda un incidente de junio en el que un proveedor externo comprometido permitió que un script malicioso llegara al frontend de Polymarket para algunos usuarios. Los primeros análisis en cadena situaron las pérdidas en 2,94 millones de dólares, repartidos entre al menos 11 billeteras, y una estimación posterior las elevó a 3,1 millones; los fondos se sustrajeron en pUSD en Polygon, se convirtieron a través de Relay, se transfirieron a Ethereum y se intercambiaron por ETH. En aquel momento, la empresa dijo que había eliminado la dependencia afectada y que reembolsaría íntegramente a los clientes perjudicados. Una plataforma homóloga sufrió una brecha similar días antes: Predict.fun confirmó transferencias no autorizadas de unos 400.000 USDT en un comunicado del 27 de oct., atribuyó una posible vulneración a un sitio externo de documentación de API y prometió el reembolso total, además de un análisis detallado del incidente. Un incidente de diciembre relacionado con un servicio de inicio de sesión con un solo clic apuntó al mismo eslabón débil: las dependencias de terceros.
Investigadores de seguridad de Hudson Rock han identificado un posible mecanismo de propagación: un script cargado desde DebugBear, un servicio de monitorización del rendimiento web, contenía código que busca la sesión de trading de un usuario conectado e intenta vender sus posiciones y transferir sus activos. La misma dirección, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, está codificada en el script como destinatario alternativo, y los datos en cadena muestran que la billetera del presunto atacante tiene unos 2,65 millones de dólares en POL después de varios intercambios de USDC.e por POL a través de Relay. Hudson Rock dijo que el código del sitio de producción de Polymarket registra la eliminación del script, pero la empresa no ha determinado cómo comenzó la vulneración ni cuántos usuarios se vieron afectados. Polymarket aún no ha indicado la causa.
Un patrón recurrente de terceros
Tres incidentes en unos diez meses, todos canalizados a través de dependencias de proveedores y no de los contratos en cadena, apuntan a una debilidad estructural en la infraestructura de los mercados de predicción. Polymarket opera en Polygon, una red de capa 2, y hace tiempo que dejó atrás su diseño inicial de creador de mercado automatizado para adoptar un libro de órdenes centralizado; sin embargo, la superficie de ataque se encuentra en los frontends alojados, los relayers y la infraestructura de billeteras de depósito, aspectos que no cubre ninguna auditoría de contratos. En cada caso, los fondos se perdieron en cuanto los usuarios firmaron solicitudes maliciosas, por lo que las pérdidas quedaron consolidadas al confirmarse las transacciones. La respuesta de la empresa —solucionar el problema y compensar a los afectados— ha sido coherente, pero una vez más no ha publicado hashes de transacciones, una cifra de pérdidas confirmada ni una causa técnica raíz más allá de señalar a un tercero. Hasta que se conozcan esos detalles, trasladar los saldos inactivos a una billetera fría y revisar cómo funcionan las billeteras de hardware sigue siendo la medida de protección práctica para los usuarios activos.