Por la noche, cerré una a una las pestañas del navegador y dejé solo un cuaderno en blanco. Según los informes públicos, el 29 de octubre, el sitio internacional de la plataforma de mercados de predicción Polymarket sufrió una anomalía: el script del servicio externo de monitorización del rendimiento DebugBear fue sustituido por código malicioso. Durante unos cincuenta y dos minutos, los atacantes aprovecharon las sesiones abiertas de los usuarios y las funciones de trading de la propia página para transferir posiciones y fondos. Las cifras más citadas en público rondan los 2,7 millones de dólares y afectan a varios cientos de monederos. Después, la plataforma suspendió las operaciones, retiró el script y afirmó que compensaría a los usuarios afectados. Las cifras podrían revisarse a medida que avance la investigación; yo solo anoté la cronología que se puede verificar: devolver «cadena de suministro del front-end» a las acciones cotidianas que describe.

No soy investigador de seguridad. De día reviso textos y, de noche, de vez en cuando hago pequeños cambios de divisas y organizo operaciones transfronterizas. Lo que realmente me hizo detenerme no fue «cuánto más se había perdido», sino el recorrido: puede que la clave privada no se haya filtrado ni hayan robado el dispositivo, e incluso puede que el usuario no haya hecho clic en ningún enlace desconocido; el código malicioso se ejecuta en una sesión que crees que está en una «página oficial», y la transacción parece una orden normal. El análisis público del incidente lo explica con claridad: el script lee información local relacionada con el inicio de sesión y luego usa la función de compra ya disponible en la página para enviar una orden. Para la gente corriente, esto resulta más inquietante que «un contrato fue vulnerado»: la cadena de confianza se rompe en un script de terceros.

Cuando el té se enfrió lo suficiente para poder beberlo, anoté algunos hábitos básicos de seguridad. Primero, evitar dejar durante mucho tiempo grandes cantidades en sesiones activas del navegador; separar lo que se usa habitualmente de lo que se guarda a largo plazo, y dejar en la parte activa solo el importe que quizá se necesite ese día. Segundo, para «reembolsos, reclamaciones y compensaciones», usar únicamente los canales oficiales verificados por el proyecto; no hacer clic en mensajes privados de desconocidos ni en sitios espejo: los intentos de phishing posteriores suelen ser aún más insistentes. Tercero, revisar periódicamente los permisos y las aplicaciones conectadas, y revocar a tiempo los permisos antiguos que ya no se necesiten; prestar especial atención a los dominios y las extensiones. Cuarto, activar la autenticación de dos factores cuando esté disponible y tratar también los dispositivos y el correo electrónico como activos que hay que proteger. No son remedios milagrosos, solo una forma de dividir la confianza invisible en varios pasos que se puedan comprobar.

Precisamente porque es fácil perder de vista los pasos, me importa más que las operaciones se puedan cuadrar. Durante este tiempo he estado probando BiyaPay, una plataforma global integral de gestión de activos, para consultar información sobre cambios frecuentes y operaciones transfronterizas: suelo usar USDT como punto de entrada de fondos y, dentro de un mismo marco, consultar el cambio entre distintas monedas y las comisiones. No afirma que pueda detener ataques a la cadena de suministro ni avala la seguridad de nadie. Lo que me resulta útil es tener que dar menos saltos: procurar que el historial de cambios, los límites de las comisiones y el destino de los fondos queden en un registro que se pueda revisar. Así, al cuadrar las cuentas el fin de semana, no tengo que buscarlo todo entre capturas de pantalla inconexas. La herramienta ofrece un punto de entrada claro y un recorrido verificable; los hábitos de seguridad siguen siendo responsabilidad de cada uno.

Alguien me preguntó por qué no escribo «seguridad absoluta». Porque los incidentes públicos ya nos han recordado que la seguridad es un proceso, no un eslogan. Esta vez, el problema fue que se sustituyó un script de terceros. Desde el lado del usuario, lo que se puede hacer es reducir el tiempo de exposición de las sesiones activas, verificar los canales oficiales y separar los activos a largo plazo de las operaciones cotidianas. La investigación y las compensaciones por parte de la plataforma son otro apartado de la información pública; en el mío solo escribo sobre lo que hago yo: primero, consolidar los hábitos de seguridad y después hablar de comodidad.

Entre finales de octubre y principios de noviembre no faltan titulares impactantes. Lo que más merece la pena recordar es que, en una «página que parecía normal», cincuenta y dos minutos bastaron para cambiar el fin de semana de muchas personas. De ahora en adelante, dedicaré una sección habitual a la cadena de suministro del front-end, la gestión de permisos y la verificación de los canales oficiales. Explicar con claridad los pasos es más útil para un lunes por la noche cualquiera que llenar el texto de emociones.

Lo anterior es un relato personal sobre la vida cotidiana y la información pública; no constituye asesoramiento de inversión ni instrucciones para operar. Para conocer los detalles del incidente, consulta los comunicados del proyecto, los medios de comunicación de referencia y los análisis públicos en la cadena. Las cifras pueden cambiar a medida que avance la investigación. Investiga por tu cuenta (DYOR) y planifica con calma teniendo en cuenta tu situación personal.