Polymarket, un mercado de predicción donde los usuarios operan sobre los resultados de eventos del mundo real, sufrió una brecha de seguridad el 29 de octubre en la que atacantes drenaron aproximadamente 2,7 millones de dólares de cientos de billeteras de usuarios tras comprometer un servicio de monitoreo de terceros e inyectar código malicioso en el sitio web de la plataforma.

El ataque apuntó a la interfaz de trading internacional de Polymarket a través de DebugBear, un proveedor de monitoreo de rendimiento web cuyo JavaScript comprometido fue utilizado para ejecutar transacciones no autorizadas. El análisis de blockchain identificó 737 cuentas afectadas con pérdidas combinadas de aproximadamente 2,73 millones de dólares, con los fondos movidos a través de la infraestructura de retiros existente de Polymarket.

Polymarket suspendió temporalmente el trading, deshabilitó el procesamiento de transacciones y eliminó la integración afectada antes de restablecer sus operaciones. La empresa confirmó el incidente de seguridad, llevó el asunto a las autoridades británicas y se comprometió a reembolsar a todos los traders afectados. La brecha no involucró una vulnerabilidad confirmada en los contratos inteligentes de Polymarket; en cambio, explotó software entregado a través de un servicio externo confiable.

Script comprometido de DebugBear drena cientos de billeteras

El ataque se originó en JavaScript malicioso distribuido a través de la infraestructura de Real User Monitoring (RUM) de DebugBear, un servicio que los sitios web usan para monitorear el rendimiento y la actividad de los usuarios. Investigadores de seguridad descubrieron que el script comprometido contenía funcionalidad de drenaje de billeteras capaz de interactuar con sesiones de trading autenticadas de Polymarket. Una vez cargado en el navegador del usuario, el código malicioso podía inspeccionar saldos de cuentas, identificar posiciones abiertas e iniciar transferencias de activos no autorizadas.

Los sitios web cargan habitualmente scripts de terceros para análisis, publicidad y monitoreo de rendimiento, y cualquier código de este tipo se ejecuta en el navegador del visitante junto con el propio del sitio. Cuando el script de un proveedor es comprometido, la carga maliciosa puede llegar a cada sitio que lo incorpore, un patrón comúnmente descrito como un ataque a la cadena de suministro de software.

El script buscaba liquidar posiciones del mercado de predicción y redirigir las criptomonedas a una dirección controlada por el atacante, utilizando la infraestructura de transacciones existente de Polymarket. A diferencia de un exploit convencional de contratos inteligentes, el ataque no requirió romper los contratos subyacentes de la blockchain; abusó de funciones legítimas de trading y retiros tras obtener acceso a través del frontend del sitio web.

DebugBear reconoció un incidente de seguridad que afectó a su infraestructura e instó a los clientes que usan su servicio de monitoreo a eliminar el JavaScript incrustado de sus sitios web. Posteriormente, Polymarket eliminó la dependencia comprometida, y su compilación de producción mostró una actualización dirigida específicamente a la integración de monitoreo de DebugBear.

El incidente se asemeja mucho a un ataque de junio que drenó aproximadamente 2,94 millones de dólares de usuarios de Polymarket, cuando otra dependencia de terceros comprometida permitió que código malicioso llegara al frontend de la plataforma. Ambos incidentes subrayan cómo las integraciones de software externas pueden exponer los activos de los usuarios incluso cuando los contratos inteligentes principales de una plataforma siguen operativos.

El análisis de blockchain rastrea 2,73 millones de dólares de 737 cuentas

El rastro de transacciones del 29 de octubre identificó 737 cuentas afectadas de Polymarket y aproximadamente 2,73 millones de dólares en retiros no autorizados entre las 17:10 y las 18:10 UTC. Los investigadores rastrearon 985 transacciones de drenaje individuales durante ese período, con la mayor concentración entre las 17:25 y las 18:10 UTC. En el punto máximo de actividad, se registraron hasta 40 transacciones en un solo minuto. Cuatro cuentas representaron aproximadamente el 43% de las pérdidas identificadas, mientras que cientos de billeteras más pequeñas también fueron afectadas.

Las transferencias se movieron a través de la infraestructura legítima de relayers de Polymarket, que envía transacciones en nombre de los usuarios, mediante autorizaciones de transacción válidas. Los activos robados fueron posteriormente intercambiados por POL, la criptomoneda nativa de Polygon —la red que alberga la actividad de trading de Polymarket— antes de ser distribuidos entre billeteras adicionales. Una dirección receptora principal, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, acumuló aproximadamente 28,6 millones de POL durante el incidente.

El atacante luego movió fondos a tres billeteras adicionales, con algunos activos enrutados hacia Ethereum a través de servicios de puentes entre cadenas. A las 19:49 UTC, aproximadamente 2,17 millones de dólares de los fondos rastreados permanecían en Polygon, mientras que otros ingresos habían comenzado a moverse entre redes.

La investigación en cadena también identificó un retiro adicional de aproximadamente 11 dólares a las 19:11 UTC, después de que Polymarket hubiera anunciado que el problema subyacente había sido corregido. La transacción involucró a una cuenta previamente afectada por el ataque, lo que plantea preguntas sobre si todas las autorizaciones maliciosas fueron neutralizadas de inmediato. Polymarket no ha confirmado de forma independiente la estimación de pérdidas de 2,73 millones de dólares ni el número reportado de cuentas afectadas.

Polymarket restablece el trading y promete reembolsos completos

Polymarket movió inicialmente su exchange internacional a modo de solo cancelación aproximadamente a las 18:05 UTC, permitiendo a los usuarios cancelar órdenes existentes mientras bloqueaba nuevas operaciones y pausaba las actividades de los relayers. La plataforma identificó y eliminó la integración comprometida antes de anunciar a las 18:37 UTC que la vulnerabilidad había sido corregida. El trading se reanudó aproximadamente a las 19:05 UTC, poniendo fin a una interrupción de alrededor de una hora. La plataforma separada Polymarket US no reportó haber sido afectada.

Polymarket se ha comprometido a compensar a todos los traders afectados, aunque no ha revelado el número de usuarios elegibles, un cronograma de reembolsos ni si algún fondo robado ha sido recuperado. La empresa también llevó el incidente a las autoridades británicas, donde tiene su base DebugBear, mientras los investigadores trabajan para establecer cómo fue comprometida la infraestructura del proveedor de monitoreo.

Un período difícil para la seguridad de las plataformas cripto

La brecha se suma a un período difícil para la seguridad de las plataformas de criptomonedas. El mismo día, Binance confirmó una brecha de seguridad de 6.300 millones de dólares, con aproximadamente 3.000 millones de dólares en activos congelados tras transferencias no autorizadas a través de múltiples blockchains. No hay evidencia que vincule los dos incidentes, y sus presuntos métodos de ataque difieren sustancialmente.

Para Polymarket, el último exploit plantea nuevas preguntas sobre las dependencias de terceros y las protecciones en torno a las transacciones de criptomonedas basadas en navegador. Incluso sin acceso directo a las claves privadas de los usuarios ni una vulnerabilidad en los contratos inteligentes subyacentes, el código malicioso entregado a través de una integración confiable del sitio web pudo desencadenar operaciones y retiros no autorizados.

Polymarket ha restablecido el trading normal y se ha comprometido a cubrir las pérdidas de los usuarios, pero aún pendan una explicación técnica completa del compromiso de DebugBear, el impacto financiero final y el proceso de recuperación.

Fuente: Crypto Adventure