Polymarket se ha comprometido a reembolsar a los usuarios un total de 3,9 millones de dólares después de un incidente de ciberseguridad ocurrido el 29 de octubre de 2026, en el que los atacantes trasladaron criptomonedas fuera de las billeteras de los clientes utilizando un script de terceros comprometido. La plataforma de mercados de predicciones confirmó que los hackers explotaron un script de monitoreo de rendimiento suministrado por un proveedor externo para ejecutar transacciones no autorizadas desde las cuentas afectadas.

En una actualización de seguridad publicada el 30 de octubre, Polymarket detalló un paquete de compensación que incluye 2,7 millones de dólares para pérdidas relacionadas con el ataque y 1,2 millones de dólares adicionales por interrupciones en las operaciones comerciales. Según la empresa, el 95% de las billeteras afectadas ya había recibido reembolsos completos.

Script comprometido de un proveedor explotó sesiones activas

La vulneración se originó en un script de monitoreo de rendimiento proporcionado por un proveedor tecnológico externo. Los atacantes reemplazaron el script legítimo con código malicioso diseñado para explotar las sesiones de trading activas en la plataforma internacional de Polymarket. Debido a que los usuarios permanecían con sesión iniciada en sus cuentas, el código inyectado permitió transacciones no autorizadas: los atacantes vendieron posiciones de trading y transfirieron fondos desde billeteras de criptomonedas conectadas sin la autorización de los titulares de las cuentas.

Reuters identificó al proveedor afectado como DebugBear, una empresa de monitoreo de rendimiento de sitios web. El proveedor reconoció el incidente de seguridad y recomendó a sus clientes eliminar su código de monitoreo mientras investigaba la vulneración. El punto de entrada corresponde a una clase más amplia de compromisos de la cadena de suministro web: los scripts de terceros se ejecutan dentro de páginas de confianza, y vectores similares se utilizaron en los ataques de skimming de tarjetas de Magecart en 2018 que afectaron a British Airways y Ticketmaster, aunque esas campañas recolectaban datos de tarjetas de pago, mientras que esta apuntó a sesiones de trading activas y billeteras de criptomonedas conectadas.

Polymarket suspendió temporalmente las operaciones de trading y el procesamiento de transacciones después de detectar actividad sospechosa. La plataforma luego eliminó el script malicioso, borró las cachés del sitio web y restableció las sesiones activas antes de restaurar las operaciones normales.

La compensación va más allá de los fondos robados

El programa de reembolsos cubre más que los activos sustraídos directamente durante el ataque. Polymarket también se comprometió a compensar a los traders que sufrieron pérdidas financieras debido a la suspensión temporal del trading.

Los 1,2 millones de dólares adicionales cubren las pérdidas calificadas vinculadas a posiciones afectadas por la interrupción, incluidas las posiciones que perdieron valor cuando los mercados se cerraron durante la pausa y ciertas transacciones completadas después de que el trading se reanudó. Los usuarios elegibles recibirán la compensación automáticamente, determinada a partir de los registros de la blockchain y de la actividad de trading, y los clientes que consideren que su reembolso es incorrecto pueden solicitar una revisión adicional. Dado que los pagos se calculan a partir de registros en cadena y de trading en lugar de un proceso de reclamos manual, los usuarios que disputen un monto deben recurrir a esa vía de revisión para corregirlo.

La renovación de seguridad apunta al riesgo de terceros

El incidente pone de relieve las vulnerabilidades asociadas con el software externo integrado en las plataformas de trading de criptomonedas. Incluso cuando la infraestructura central de blockchain sigue operativa, los componentes web comprometidos pueden exponer a los usuarios a pérdidas financieras considerables. En la práctica, la superficie de ataque de una plataforma incluye el código de front-end suministrado por proveedores, además de los contratos inteligentes y la gestión de claves.

Polymarket dijo que está fortaleciendo sus controles de seguridad mediante una verificación de scripts más estricta, monitoreo adicional y mejores restricciones sobre el código de terceros. La empresa remitió el incidente a las autoridades y continúa investigando a los atacantes.

El compromiso de compensación de 3,9 millones de dólares representa una respuesta financiera significativa a la vulneración, que subraya la importancia de proteger las sesiones de trading activas a medida que los mercados de predicciones atraen una participación más amplia. Los puntos pendientes a seguir son los reembolsos adeudados al aproximadamente 5% de las billeteras afectadas que aún no han sido compensadas por completo, los ajustes derivados de las revisiones solicitadas por los usuarios y los resultados de la remisión a las autoridades y de las investigaciones en curso de Polymarket y DebugBear.

Fuente: CryptoMeter io