995 cuentas de Polymarket fueron saqueadas. Este ataque sí que hizo añicos las ilusiones de mucha gente.
No hubo dominios falsos ni airdrops de phishing. Los usuarios abrieron el sitio oficial: polymarket.com.
El problema fue que infectaron el script de DebugBear, una herramienta de terceros para medir el rendimiento integrada en el sitio. El script obtuvo directamente tu sesión de inicio de sesión en el navegador y realizó operaciones automáticamente:
Primero vendió todas las posiciones con un descuento del 3 % respecto al precio de mercado; si no lograba venderlas, las ofrecía a mitad de precio y, al final, las liquidaba al precio más bajo;
Después convirtió todo el saldo a POL y lo transfirió al atacante.
Las stablecoins aún pueden congelarse, pero POL no tiene opción de congelación.
El script también enviaba datos: direcciones de billeteras, ubicación, tamaño de las cuentas y si las transferencias se habían completado. Todo llegaba a manos del atacante.
La billetera del atacante pasó de 0 a 2 millones de dólares en 45 minutos. Según los cálculos de Conor Grogan, las pérdidas finales ascendieron a 2,65 millones.
Un trader vio con sus propios ojos cómo el sistema cerraba automáticamente su posición de 800.000 dólares. Un amigo suyo también perdió 600.000.
Tras el incidente, Polymarket pasó de urgencia al modo de solo cancelación de órdenes, suspendió los relés y prometió reembolsar todas las pérdidas. Eso merece reconocimiento.
Pero este ya es el tercer incidente similar este año.
En mayo robaron unos 700.000 dólares y en junio, 3 millones. Todos fueron ataques a la cadena de suministro del frontend, causados por la vulneración de scripts de terceros.
He sufrido ataques de phishing y me han saqueado la cuenta. Llevo suficiente tiempo en este sector como para saber que el riesgo siempre está al acecho.
Pero estas víctimas no hicieron nada mal: simplemente abrieron el sitio oficial como de costumbre.
Lo más irónico es que llevamos diez años perfeccionando los contratos y auditando la cadena de bloques, proclamando que la criptografía subyacente es inexpugnable.
Y al final, un insignificante script para medir el rendimiento de una página web les vació los fondos a los usuarios.$HYPE
No hubo dominios falsos ni airdrops de phishing. Los usuarios abrieron el sitio oficial: polymarket.com.
El problema fue que infectaron el script de DebugBear, una herramienta de terceros para medir el rendimiento integrada en el sitio. El script obtuvo directamente tu sesión de inicio de sesión en el navegador y realizó operaciones automáticamente:
Primero vendió todas las posiciones con un descuento del 3 % respecto al precio de mercado; si no lograba venderlas, las ofrecía a mitad de precio y, al final, las liquidaba al precio más bajo;
Después convirtió todo el saldo a POL y lo transfirió al atacante.
Las stablecoins aún pueden congelarse, pero POL no tiene opción de congelación.
El script también enviaba datos: direcciones de billeteras, ubicación, tamaño de las cuentas y si las transferencias se habían completado. Todo llegaba a manos del atacante.
La billetera del atacante pasó de 0 a 2 millones de dólares en 45 minutos. Según los cálculos de Conor Grogan, las pérdidas finales ascendieron a 2,65 millones.
Un trader vio con sus propios ojos cómo el sistema cerraba automáticamente su posición de 800.000 dólares. Un amigo suyo también perdió 600.000.
Tras el incidente, Polymarket pasó de urgencia al modo de solo cancelación de órdenes, suspendió los relés y prometió reembolsar todas las pérdidas. Eso merece reconocimiento.
Pero este ya es el tercer incidente similar este año.
En mayo robaron unos 700.000 dólares y en junio, 3 millones. Todos fueron ataques a la cadena de suministro del frontend, causados por la vulneración de scripts de terceros.
He sufrido ataques de phishing y me han saqueado la cuenta. Llevo suficiente tiempo en este sector como para saber que el riesgo siempre está al acecho.
Pero estas víctimas no hicieron nada mal: simplemente abrieron el sitio oficial como de costumbre.
Lo más irónico es que llevamos diez años perfeccionando los contratos y auditando la cadena de bloques, proclamando que la criptografía subyacente es inexpugnable.
Y al final, un insignificante script para medir el rendimiento de una página web les vació los fondos a los usuarios.$HYPE
