Polymarket suspendió las operaciones durante aproximadamente una hora el 29 de octubre de 2026, después de que un script de terceros comprometido permitiera a los atacantes vender las posiciones de los usuarios y transferir sus fondos sin autorización, informó Cointribune. Las pérdidas se estimaron en un mínimo de 2,6 millones de dólares en más de 700 cuentas.
Los operadores describieron ventas no autorizadas y saldos vaciados. Entre ellos, un usuario afirmó haber perdido 800.000 dólares y otro dijo que vaciaron su cuenta, en la que tenía 600.000 dólares. Polymarket se comprometió a reembolsar a todas las personas afectadas y dijo que remitió el caso a las autoridades británicas.
Datos clave
• El incidente comenzó el 29 de octubre en el mercado internacional Polymarket.com; las operaciones se limitaron al modo «solo cancelaciones» antes de que se restablecieran todos los servicios.
• Cointribune informó que más de 700 cuentas se vieron afectadas por al menos 2,6 millones de dólares, mientras que CoinCentral citó el seguimiento de DeFi Llama, que estimó las pérdidas en unos 2,7 millones de dólares. Los medios no coinciden en una cifra única y Polymarket no ha publicado un total definitivo.
• El análisis en cadena citado por Cointribune mostró que 28,6 millones de tokens POL, valorados en unos 2,57 millones de dólares, se distribuyeron entre varias carteras.
• La cadena de bloques Polygon y los contratos inteligentes principales de Polymarket no se vieron comprometidos; el ataque se ejecutó mediante un script de monitorización proporcionado por la empresa británica DebugBear, que ha reconocido un «incidente de seguridad en curso».
• Cointribune informó de una brecha anterior en junio, cuando se comprometió a otro proveedor externo y se robaron unos 3 millones de dólares de menos de quince cuentas; CoinCentral cifró el total de junio en más de 2,9 millones de dólares.
Un script de seguimiento, no una cadena vulnerada
Según Cointribune, los primeros análisis en cadena apuntan a DebugBear, una empresa británica cuyo servicio de monitorización de usuarios reales utiliza un script integrado en las páginas de sus clientes para medir los tiempos de carga. Al verse comprometida esa infraestructura, el script habría sido sustituido o modificado para incluir código malicioso, que comprobaba si un visitante había iniciado sesión en Polymarket y luego aprovechaba la sesión activa para vender posiciones y transferir activos. DebugBear ha pedido a sus clientes que eliminen el código integrado.
Esta distinción es importante para entender el incidente. Los atacantes no falsificaron ninguna transacción en cadena ni vulneraron la lógica de los contratos del mercado de predicciones; secuestraron la capa web que prepara y autoriza las operaciones. Investigadores de Hudson Rock identificaron una dirección en el código malicioso que recibía los fondos.
Dos brechas, un mismo punto débil
CoinCentral informó que Polymarket declaró que uno de sus proveedores externos había sido comprometido y que su API de operaciones de predicción sufrió una «interrupción importante», pero el comunicado no identificó al proveedor. CoinCentral también señaló que, a las 19:05 UTC del jueves, la página de estado de la plataforma indicaba que todos los sistemas estaban operativos, e identificó a Shayne Coplan como fundador y director ejecutivo.
Los dos incidentes siguen el mismo patrón: los proveedores externos, no los sistemas propios de Polymarket, fueron el punto de entrada. Cointribune calcula que las pérdidas combinadas de ambos episodios ascienden a casi 5,6 millones de dólares en unos pocos meses.
Por qué importa
El reembolso limita el perjuicio económico directo para los operadores, pero no devuelve una posición cerrada durante un mercado volátil a su estado anterior. Los usuarios afectados por la brecha mantienen sus fondos en una plataforma sin custodia; aun así, bastaron una sesión válida y un único script comprometido para mover su dinero, una vulnerabilidad que la mera propiedad de la cartera no elimina. La repetición del incidente hace que el escrutinio pase de un proveedor que falló a cómo Polymarket controla qué scripts se ejecutan en su sitio.
Qué conviene seguir
Polymarket no ha comunicado una cifra definitiva de pérdidas ni las condiciones del reembolso, y Cointribune informó que aún debe determinarse el número exacto de víctimas. El próximo dato concreto que habrá que seguir es cómo calcula la plataforma la compensación: si cubrirá solo los fondos desviados o también el valor de las posiciones vendidas sin consentimiento.
Publicado originalmente en CoinPulseHQ: https://coinpulsehq.com/polymarket-hack-700-accounts-2-6-million/