🚨 INVESTIGACIÓN DE SEGURIDAD DE PREDICT.FUN: ¿CÓMO SE RETIRARON 397.708 USDT DE 29 CARTERAS? GRAN ADVERTENCIA DE SEGURIDAD PARA LOS USUARIOS DE BINANCE WALLET
Un mercado de predicciones, 29 carteras afectadas, cientos de miles de dólares y un incidente de seguridad que ha planteado serias dudas sobre la infraestructura de las carteras de la industria cripto.
Informe de investigación | 31 de octubre de 2026
INTRODUCCIÓN: UNA NUEVA CUESTIÓN DE SEGURIDAD EN EL MUNDO CRIPTO
En la industria de las criptomonedas, la descentralización, la transparencia y la independencia financiera se presentan como algunos de los mayores logros tecnológicos.
La promesa básica de la tecnología blockchain es que los usuarios puedan controlar sus propios fondos. En comparación con las instituciones financieras tradicionales, las transacciones de blockchain se pueden verificar públicamente y los activos digitales pueden transferirse en cualquier momento.
Pero un incidente de seguridad relacionado con Predict.fun en octubre de 2026 planteó una pregunta importante sobre esta promesa:
Si un usuario es propietario de su billetera, pero la clave privada de esta queda expuesta a través de un servicio de terceros, ¿tiene realmente el control completo de sus fondos?
El 27 de octubre de 2026, Predict.fun emitió un comunicado público sobre transferencias no autorizadas desde billeteras. Según la plataforma, se transfirieron aproximadamente $400,000 USDT desde las billeteras de los usuarios afectados.
Después, la empresa de inteligencia blockchain Bitquery publicó una investigación on-chain.
La investigación rastreó un movimiento total de 397,708 USDT desde 29 billeteras entre el 22 y el 27 de octubre.
No fue simplemente una pérdida ordinaria de trading.
Los usuarios no perdieron dinero por tomar una decisión equivocada en una predicción de mercado. Según la investigación, se realizaron transferencias no autorizadas desde sus billeteras.
Y el hallazgo técnico más importante fue que las transferencias afectadas se firmaron con las claves de propietario de las billeteras.
Esto no significa necesariamente que se haya hackeado el contrato inteligente principal de trading de Predict.fun.
El problema de seguridad real estaba relacionado con el acceso a la billetera y la exposición de la clave privada.
PARTE 1: ¿QUÉ ES PREDICT.FUN?
Predict.fun es una plataforma de mercados de predicción que opera en el ecosistema de BNB Chain.
El concepto básico de los mercados de predicción es algo diferente del trading tradicional.
Aquí, los usuarios toman posiciones sobre los posibles resultados de un acontecimiento futuro.
Por ejemplo:
¿Subirá o bajará el precio de Bitcoin?
¿Cuál será el resultado de un acontecimiento político?
¿Quién ganará una competición deportiva?
¿Se completará un acontecimiento determinado antes de una fecha límite específica?
Los usuarios compran participaciones en los resultados disponibles.
Si su predicción es correcta, pueden recibir un pago según las reglas de liquidación del mercado.
Si la predicción es incorrecta, su posición puede perder valor.
Una característica atractiva de los mercados de predicción es que los usuarios no dependen únicamente del trading spot tradicional.
Pero este modelo también implica algunas dependencias técnicas adicionales:
Infraestructura de billeteras.
Contratos inteligentes.
Conexiones de API.
Proveedores de servicios de terceros.
Gestión de claves privadas.
Sistemas de liquidación de mercados.
Puentes blockchain.
Estas dependencias son importantes para entender el incidente de seguridad.
Predict.fun también estuvo disponible a través de Binance Wallet.
Por eso, la noticia del incidente no se limitó a una plataforma de predicción independiente. También cobró relevancia para los usuarios del ecosistema Binance Wallet.
Pero es importante entender una distinción:
Que se pueda acceder a una plataforma a través de Binance Wallet no demuestra automáticamente que se haya hackeado la infraestructura central del exchange Binance.
Es necesario investigar ambos sistemas técnicos por separado.
PARTE 2: ¿QUÉ OCURRIÓ EL 27 DE OCTUBRE DE 2026?
El 27 de octubre, los usuarios de Predict.fun empezaron a compartir informes de transferencias no autorizadas desde billeteras.
Algunos usuarios dijeron que los USDT de sus cuentas se habían transferido sin su permiso.
Al principio, se informó de una pérdida de aproximadamente $400,000.
Predict.fun también reconoció en un comunicado público transferencias no autorizadas de aproximadamente 400,000 USDT.
Según la investigación preliminar de la plataforma, es posible que se hubiera comprometido su sitio web de documentación de la API.
Este sitio web estaba alojado en un proveedor externo.
Como medida preventiva, Predict.fun desconectó el sitio web de documentación de la API.
La plataforma también se comprometió a reembolsar el 100% de las pérdidas directas de los usuarios afectados.
Además, prometió publicar un análisis completo posterior al incidente que explicara los detalles técnicos del incidente y las mejoras de seguridad futuras.
Pero la investigación de Bitquery reveló otro aspecto importante del incidente.
El robo no comenzó el 27 de octubre.
Según los registros de la blockchain, la primera oleada ya había comenzado el 22 de octubre.
Es decir, los fondos ya se estaban transfiriendo desde las billeteras cinco días antes de la divulgación pública.
PARTE 3: PRIMERA OLEADA — 22 DE OCTUBRE
Según la investigación de Bitquery, el 22 de octubre se transfirieron aproximadamente 125,029 USDT desde seis billeteras.
Esta fue la primera oleada identificada del incidente.
Algunos detalles importantes de esta oleada:
Billeteras afectadas: 6
Importe total: 125,029 USDT
Fecha: 22 de octubre de 2026
Blockchain: BNB Chain
La investigación detectó primero pequeñas transacciones de prueba.
Desde una billetera se realizaron pequeñas transferencias de aproximadamente uno o dos dólares.
Este tipo de transferencias pequeñas puede ser importante en una investigación de seguridad, ya que un atacante podría probar primero el proceso de transacción.
Después se ejecutaron transferencias de mayor importe.
Según los informes, en una transferencia se movieron aproximadamente 82,000 USDT.
Este importe fue una de las transacciones individuales más importantes del incidente.
Lo más preocupante era que los informes públicos sobre la oleada del 22 de octubre no habían aparecido antes del incidente del 27 de octubre.
Esto significa que, al principio, los usuarios y la comunidad cripto en general no conocían la cronología completa del incidente.
PARTE 4: SEGUNDA OLEADA — 27 DE OCTUBRE
El 27 de octubre salió a la luz la segunda y mayor fase del incidente.
En esta fase se transfirieron aproximadamente 272,679 USDT.
Según la investigación de Bitquery, 19 billeteras se vieron afectadas en esta oleada.
El detalle más preocupante fue la rapidez de las transacciones.
Las transferencias a gran escala desde 19 billeteras se ejecutaron en aproximadamente 34 minutos.
Entre algunas transacciones solo pasaron unos minutos.
Este patrón apunta a una actividad coordinada.
La investigación observó que los fondos primero se trasladaron a nuevas direcciones intermediarias.
Después se transfirieron a la red Ethereum a través de puentes cross-chain.
Hay un detalle técnico importante:
Que una transacción sea visible en la blockchain y establecer la identidad de la persona que la autorizó son dos cosas distintas.
Los datos on-chain pueden mostrar desde qué dirección salieron los fondos y adónde llegaron.
Pero la dirección de una billetera por sí sola no permite identificar automáticamente la identidad real del atacante.
Por eso, es necesario distinguir entre los hallazgos técnicos del incidente basados en transacciones verificadas y la vía de ataque sospechada.
PARTE 5: ¿CUÁL FUE LA PÉRDIDA TOTAL?
Según la investigación de Bitquery, el total de ambas oleadas fue:
22 de octubre:
125,029 USDT
27 de octubre:
272,679 USDT
Total combinado:
397,708 USDT
Es decir, una salida total de las billeteras de aproximadamente $397,708.
Este importe se aproxima a la estimación pública de Predict.fun, de aproximadamente $400,000.
También se informó de otro acontecimiento relacionado.
Aproximadamente una hora después del comunicado público de Predict.fun, se informó que se habían transferido 4,900 USDT desde otra billetera.
Esta transferencia adicional debe considerarse por separado del cálculo de 397,708 USDT correspondiente a las dos oleadas originales.
Esta distinción es importante; de lo contrario, puede haber confusión sobre el total de fondos afectados y el número de billeteras.
PARTE 6: LA GRAN PREGUNTA — ¿CÓMO QUEDÓ EXPUESTA LA CLAVE PRIVADA?
Ahora llegamos al punto técnico más importante del incidente.
La clave privada es la información más sensible de una billetera de criptomonedas.
Es una credencial criptográfica secreta que permite al propietario de la billetera autorizar transacciones.
Si un atacante obtiene una clave privada válida, puede firmar transacciones desde la billetera.
La red blockchain verifica la firma de la transacción.
Si la firma es válida y la transacción cumple las demás reglas del protocolo, puede ejecutarse.
Hay una diferencia importante:
La blockchain verifica que una transacción haya sido firmada con una clave criptográfica autorizada.
La blockchain no puede verificar automáticamente si quien usó la clave era el titular real de la cuenta o una persona no autorizada.
Por eso, el compromiso de claves privadas es uno de los riesgos más graves para la seguridad cripto.
En el incidente de Predict.fun, Bitquery informó que los vaciados de las billeteras afectadas se firmaron con claves de propietario.
En esta investigación, durante las 33 transacciones de vaciado no se llamaron los contratos de mercado de Predict.fun.
Este hallazgo indica que la ruta visible del ataque estaba relacionada con la autorización a nivel de billetera, y no con la explotación directa de los contratos inteligentes de trading de la plataforma.
Pero esto no demuestra que no hubiera vulnerabilidades en otros componentes de la plataforma.
PARTE 7: ¿QUÉ PAPEL DESEMPEÑÓ EL SITIO WEB DE DOCUMENTACIÓN DE LA API?
En su investigación preliminar, Predict.fun mencionó un posible compromiso del sitio web de documentación de la API alojado por un tercero.
Esta es la pregunta más importante del incidente que sigue sin respuesta.
API significa «interfaz de programación de aplicaciones».
En términos sencillos, una API es un sistema técnico de comunicación que conecta entre sí dos aplicaciones de software.
El uso de API es muy común en el trading de criptomonedas.
Por ejemplo:
Bots de trading automatizado.
Aplicaciones de datos de mercado.
Herramientas de gestión de carteras.
Paneles de trading.
Sistemas de trading algorítmico.
Ejecución automatizada de órdenes.
Algunos sistemas de trading avanzados necesitan permisos adicionales o credenciales de firma para interactuar con una billetera.
Según la investigación de Bitquery, la API de Predict.fun ofrecía a los traders la opción de exportar la clave del propietario de la billetera para operar con bots.
Aquí surge un grave riesgo de seguridad.
Si un usuario introduce su clave de propietario en una herramienta externa, aplicación o flujo de trabajo de API, la seguridad de esa clave ya no depende únicamente de la red blockchain.
También depende de:
La seguridad del sitio web externo.
La autenticidad de la documentación de la API.
La seguridad del navegador del usuario.
La infraestructura de terceros.
El proceso de almacenamiento y gestión de claves.
Los permisos de acceso.
Si alguno de estos sistemas se ve comprometido, puede producirse una exposición de la clave privada.
Pero aquí es importante informar con responsabilidad.
Predict.fun señaló que el sitio web de documentación de la API podría haber sido el punto de entrada.
Las pruebas disponibles actualmente no demuestran de manera concluyente el proceso técnico exacto que utilizó el atacante para obtener las claves privadas.
Por eso, el compromiso de la documentación de la API debe describirse como una posible vía de ataque, no como una causa raíz demostrada de forma definitiva.
PARTE 8: DIFERENCIA ENTRE UN HACK DE CONTRATO INTELIGENTE Y UN HACK DE BILLETERA
Los usuarios de criptomonedas suelen llamar «hack de contrato inteligente» a cualquier incidente de seguridad.
Pero la realidad técnica es más compleja.
Un contrato inteligente es un programa basado en blockchain.
Gestiona las transacciones y las interacciones con activos digitales según reglas predefinidas.
Si hay una vulnerabilidad en un contrato inteligente, un atacante puede aprovecharla para robar fondos.
Pero el compromiso de una billetera es una situación diferente.
En este caso, el atacante obtiene la autoridad para firmar desde la billetera.
Los resultados de ambos ataques pueden ser similares:
El usuario pierde sus fondos.
Pero el método técnico es diferente.
En el incidente de Predict.fun, la investigación de Bitquery informó que los contratos de Predict.fun no fueron llamados en las 33 transacciones de vaciado.
Este hallazgo diferencia el incidente de un exploit ordinario de un contrato inteligente.
Esto significa que la investigación de seguridad de la plataforma no debe limitarse a los contratos inteligentes.
También deben investigarse la infraestructura de las billeteras, los sitios web externos, las herramientas para desarrolladores y las credenciales de firma.
PARTE 9: ¿ADÓNDE FUERON LOS FONDOS?
Una parte importante de la investigación del incidente consistió en rastrear el movimiento de los fondos robados.
Gracias a la transparencia de la blockchain, los investigadores pueden seguir direcciones y transacciones.
Según Bitquery, los fondos se trasladaron de BNB Chain a la red Ethereum.
En este proceso se utilizaron varios servicios cross-chain.
Entre los servicios mencionados:
Relay
LI.FI
Across
Estos servicios facilitan el movimiento de activos entre distintas redes blockchain.
Un ejemplo sencillo:
Si un usuario tiene USDT en BNB Chain y quiere recibir ETH en Ethereum, un puente o servicio de enrutamiento cross-chain puede facilitar el proceso.
Según la investigación, los fondos robados pasaron por direcciones intermediarias y se convirtieron en ETH en Ethereum.
Este proceso puede hacer relativamente más complicado seguir el rastro de la transacción original de los fondos.
Pero una transferencia cross-chain no significa que los fondos hayan desaparecido por completo de la blockchain.
Los registros de transacciones siguen existiendo en cada blockchain.
PARTE 10: LA CONEXIÓN CON TORNADO CASH
Otro hallazgo importante de la investigación de Bitquery estaba relacionado con Tornado Cash.
Según la investigación, se depositaron aproximadamente 166.8 ETH en Tornado Cash.
Tornado Cash es un protocolo de mezcla de criptomonedas.
Su propósito es ocultar el vínculo público directo entre el origen y el destino de las transacciones.
La tecnología de privacidad también puede tener usos legítimos.
Pero en casos de fondos robados, los mezcladores pueden dificultar el rastreo para los investigadores.
En este incidente, los investigadores informaron que una parte significativa de los fondos robados llegó a Tornado Cash después de trasladarse a Ethereum.
También se informó que 4,900 USDT procedentes de otro vaciado de una billetera se trasladaron a Railgun.
Railgun también es un protocolo centrado en la privacidad.
Hay una aclaración importante:
Que Tornado Cash o Railgun aparezcan en el rastro de una transacción no demuestra por sí solo que sus desarrolladores u operadores estuvieran implicados en el robo.
Esta distinción es muy importante en el periodismo de investigación.
El destino de una transacción y la responsabilidad penal deben considerarse por separado.
PARTE 11: ¿TAMBIÉN SE VIERON AFECTADOS LOS BOTS?
El trading automatizado es bastante común en los mercados de predicción.
Los bots supervisan los precios del mercado y ejecutan operaciones según condiciones predefinidas.
La investigación de Bitquery también examinó la actividad de trading de las billeteras afectadas.
Según la investigación, algunas billeteras mostraron una actividad de trading muy elevada antes del incidente.
12 billeteras habían realizado más de 1,000 operaciones durante la semana anterior.
La actividad de algunas cuentas era compatible con el uso de sistemas de trading automatizado.
Pero no sería correcto afirmar que todas las billeteras afectadas pertenecían a bots.
La investigación también detectó cuentas afectadas con poca actividad de trading.
Esto plantea una posibilidad importante:
El riesgo no se limitaba a los traders profesionales.
Incluso un usuario común puede correr un riesgo de seguridad si usa una integración API y su clave de propietario queda expuesta en un flujo de trabajo externo.
Es decir, no usar trading automatizado tampoco elimina automáticamente todos los riesgos para una billetera.
PARTE 12: ¿QUIÉN SUFRIÓ LAS MAYORES PÉRDIDAS?
Según la investigación, las pérdidas de las billeteras afectadas no fueron iguales.
Algunas cuentas perdieron cantidades relativamente pequeñas.
Mientras que desde algunas billeteras se transfirieron decenas de miles de USDT.
La mayor pérdida individual reportada fue de aproximadamente $109,000.
Según Bitquery, las cinco billeteras más afectadas representaron aproximadamente el 73% del total de los fondos robados.
La pérdida mediana reportada fue de aproximadamente 4,845 USDT.
Estas cifras muestran que algunas cuentas con saldos elevados se vieron afectadas de manera desproporcionada.
Esto tiene una implicación importante.
El riesgo para la seguridad de una billetera no se determina únicamente por el volumen de trading de la cuenta.
Un usuario que realiza muy pocas operaciones pero mantiene un saldo elevado en su billetera también puede convertirse en un objetivo serio.
PARTE 13: LA RESPUESTA DE PREDICT.FUN
Tras hacerse público el incidente, Predict.fun anunció varias medidas preventivas.
Primero, se desconectó el sitio web de la documentación de la API.
La plataforma dijo que el sitio web estaba alojado en un proveedor externo y que se estaba investigando un posible compromiso.
El segundo paso importante fue el compromiso de reembolso.
Predict.fun prometió reembolsar el 100% de las pérdidas directas de los usuarios afectados.
El tercer paso fue comprometerse a publicar un análisis detallado posterior al incidente.
Un análisis posterior al incidente es un informe técnico que explica la cronología, la causa raíz, el impacto y las medidas correctivas.
Pero prometer un reembolso y completar el reembolso son dos hitos diferentes.
Los usuarios deberían verificar:
¿Cuántos usuarios se vieron afectados?
¿Cuál fue la pérdida verificada de cada usuario?
¿En qué fecha se completó el reembolso?
¿De qué fuente procedieron los fondos?
¿Se modificaron los controles de seguridad de las futuras integraciones de API?
¿Se revocaron las credenciales comprometidas?
¿Se realizó una auditoría de seguridad independiente?
Una declaración pública por sí sola no responde a todas estas preguntas.
PARTE 14: ¿TAMBIÉN FUE HACKEADO BINANCE DIRECTAMENTE?
Esta es la pregunta más importante para los usuarios de Binance Wallet.
Predict.fun estuvo disponible a través de Binance Wallet.
Pero que una aplicación de terceros esté disponible en Binance Wallet no es lo mismo que el compromiso de los sistemas centrales del exchange Binance.
Confundir ambas cosas puede generar desinformación.
La investigación disponible se centra en las billeteras de usuarios afectados de Predict.fun y en la autorización mediante claves de propietario.
Esta evidencia no demuestra que los saldos de los clientes de Binance ni la infraestructura central del exchange se vieran comprometidos directamente en este mismo ataque.
Del mismo modo, que aparezca el error «Orders Not Allowed» en el mercado BTC Up or Down 5m de Binance Predict tampoco demuestra directamente que esté relacionado con este robo.
Si Binance pausó temporalmente un mercado de predicción, el motivo exacto debería establecerse mediante un anuncio oficial o una confirmación de la plataforma.
Que dos incidentes ocurran al mismo tiempo no demuestra que uno haya causado el otro.
PARTE 15: LECCIONES DE SEGURIDAD PARA LOS USUARIOS DE CRIPTOMONEDAS
Este incidente deja varias lecciones importantes para los usuarios comunes de criptomonedas.
1. NUNCA COMPARTA SU CLAVE PRIVADA
La clave privada es la credencial que controla la billetera.
Si un sitio web o una aplicación desconocida le pide exportar su clave privada, considérelo una decisión de seguridad seria.
2. REVISE LOS PERMISOS DE LA API
Es fundamental comprender el propósito de cada permiso de API.
Hay una gran diferencia entre el acceso de solo lectura y la autoridad para firmar transacciones.
3. NO CONFÍE CIEGAMENTE EN SITIOS WEB DE TERCEROS
Un sitio web externo vinculado al sitio oficial de una plataforma también puede crear riesgos de seguridad.
4. MANTENGA SEPARADAS LA BILLETERA DE TRADING Y LA DE AHORRO A LARGO PLAZO
Si utiliza bots o sistemas automatizados, evite guardar sus activos a largo plazo en una billetera conectada a herramientas de trading externas.
5. CONSIDERE EXPUESTA CUALQUIER CLAVE COMPROMETIDA
Si sospecha que la clave privada de una billetera se ha visto comprometida, cambiar solo la contraseña no es suficiente.
Puede ser necesario reemplazar la autoridad de firma de la billetera y trasladar los activos restantes a una billetera segura.
6. REVISE LAS APROBACIONES DE LA BILLETERA
Los usuarios deberían revisar periódicamente las aprobaciones de tokens y las aplicaciones conectadas.
Revocar permisos desconocidos es una práctica de seguridad útil.
Pero recuerde: revocar una aprobación no hace segura una clave privada comprometida.
7. SIGA LAS ACTUALIZACIONES OFICIALES DE SEGURIDAD
No considere las capturas de pantalla ni los rumores que circulan en redes sociales como pruebas concluyentes.
Compare los comunicados oficiales, los registros de transacciones de la blockchain y las investigaciones independientes.
PARTE 16: COMPARACIÓN HISTÓRICA — LA SEGURIDAD DE LA CADENA DE SUMINISTRO CRIPTOGRÁFICA
El problema de la seguridad en el mundo cripto nunca se ha limitado a los contratos inteligentes.
En la industria del software tradicional también se han reportado incidentes de compromiso de dependencias de terceros e infraestructura para desarrolladores.
El incidente de SolarWinds de 2020 es un ejemplo histórico.
En ese incidente, los atacantes apuntaron a la cadena de suministro de software.
La intención de esta comparación no es afirmar que los ataques a Predict.fun y SolarWinds fueran técnicamente idénticos.
La escala y el método de ambos incidentes fueron diferentes.
Pero ambos destacan un principio de seguridad más amplio:
Su sistema principal puede ser seguro, pero si se compromete una infraestructura externa conectada a él, aun así puede surgir un riesgo.
En el ecosistema cripto, este riesgo es aún más delicado porque las claves privadas otorgan autoridad financiera directa.
Por eso, la documentación externa, los SDK, los servicios de API y las integraciones de billeteras deben considerarse partes importantes de la arquitectura de seguridad.
PARTE 17: LA PARADOJA DE LA DESCENTRALIZACIÓN
En la industria cripto, la descentralización suele describirse como independencia total.
Pero, en los sistemas del mundo real, los usuarios dependen de múltiples servicios centralizados y descentralizados.
Por ejemplo:
Proveedor de billetera.
Empresa de alojamiento en la nube.
Proveedor de documentación de API.
Infraestructura RPC.
Puentes cross-chain.
Servicios de bots de trading.
Proveedores de autenticación.
Si un usuario proporciona la clave de su billetera a un servicio externo, la estructura práctica del control se complica.
La blockchain puede estar descentralizada.
Pero el software y la infraestructura que permiten acceder a esa blockchain pueden estar centralizados.
Esta es la lección estratégica más importante del incidente de Predict.fun.
La afirmación de independencia solo tiene sentido si el usuario puede proteger sus fondos incluso cuando se comprometen dependencias externas.
PARTE 18: ¿QUÉ PREGUNTAS DEBE RESPONDER AHORA PREDICT.FUN?
Tras el incidente, no bastará con que la plataforma prometa reembolsos.
Los usuarios también necesitan transparencia técnica.
A mi juicio, estas son las preguntas más importantes:
1. ¿Cuál fue la causa raíz?
¿Se inyectó código malicioso en el sitio web de documentación de la API?
¿O se expusieron las claves de propietario a través de otra dependencia externa?
2. ¿Cómo se accedió a las claves privadas?
¿Introdujeron los usuarios sus claves en el sitio web de documentación?
¿Hubo un compromiso basado en el navegador?
¿O se utilizó otro método técnico?
3. ¿Se ha identificado a todos los usuarios afectados?
¿Dispone la plataforma de una lista completa de las billeteras afectadas?
4. ¿Ya recibieron el reembolso todos los usuarios afectados?
¿Se pueden verificar públicamente los hashes de las transacciones de reembolso?
5. ¿Se notificó a los usuarios existentes de la API?
¿Se revocaron sus credenciales existentes?
6. ¿Se realizó una auditoría de seguridad independiente?
¿Se publicará en el futuro una auditoría externa de la documentación de la API y de la arquitectura de firma de billeteras?
7. ¿Pueden los usuarios utilizar la plataforma sin acceso a la API?
Si un usuario no quiere utilizar un bot de terceros, ¿hay una alternativa más segura disponible?
Estas preguntas son importantes para la credibilidad a largo plazo de la plataforma.
PARTE 19: VEREDICTO FINAL DE LA INVESTIGACIÓN
El incidente de Predict.fun no debería despacharse simplemente como un robo de aproximadamente $400,000.
La importancia del incidente está en su patrón técnico.
Se ejecutaron en dos oleadas transferencias de 397,708 USDT desde 29 billeteras.
La primera oleada identificada ocurrió el 22 de octubre.
La segunda oleada salió a la luz el 27 de octubre.
Según la investigación on-chain, las transferencias afectadas se firmaron con claves de propietario.
Los contratos de mercado de Predict.fun no fueron llamados en las 33 transacciones de vaciado.
Los fondos llegaron a Ethereum a través de servicios cross-chain y se depositaron 166.8 ETH en Tornado Cash.
También se informó de otro vaciado de 4,900 USDT después de la declaración pública de la plataforma.
Predict.fun reconoció un incidente de aproximadamente $400,000, mencionó un posible compromiso de la documentación de la API de un tercero y se comprometió a reembolsar íntegramente a los usuarios afectados.
Pero sigue siendo necesario verificar de forma independiente la causa raíz técnica definitiva y la finalización de los reembolsos.
Este incidente deja algo claro:
En el mundo cripto, no basta con ser propietario de los tokens.
La seguridad de las claves privadas, las dependencias de terceros y la autorización de transacciones son igual de importantes.
Si sus fondos están en la blockchain, pero una persona no autorizada obtiene la clave que los autoriza, el beneficio práctico de la descentralización puede verse seriamente afectado.
La última pregunta, y la más importante:
Si mañana se compromete la API, la infraestructura de billeteras o un servicio de terceros de un mercado de predicción, ¿pueden los usuarios migrar o bifurcarse a otra plataforma sin perder sus fondos, la identidad de su billetera ni su historial de trading?
La verdadera prueba de independencia cripto no es solo lo fácil que resulta unirse a una plataforma.
La verdadera prueba es lo fácil que resulta salir de esa plataforma en una situación de crisis.
FUENTES DE INVESTIGACIÓN
Bitquery — Investigación on-chain sobre el vaciado de billeteras de Predict.fun, 27 de octubre de 2026.
Predict.fun — Comunicado oficial sobre transferencias no autorizadas de aproximadamente 400,000 USDT, 27 de octubre de 2026.
Crypto.news — Predict.fun confirma transferencias no autorizadas y el compromiso de reembolso.
TokenPost — Investigación sobre la cronología de las transferencias de billeteras.
iTokenly — Registro del incidente de Predict.fun y resumen técnico.
Nota de investigación: En este informe se distinguen los hallazgos verificados on-chain, las declaraciones preliminares de la plataforma y las conclusiones analíticas. El compromiso de la documentación de la API se menciona como una posible causa; la causa raíz técnica completa no se ha establecido de forma independiente.