Polymarket restableció las operaciones en su plataforma internacional tras un incidente de seguridad en un proveedor de servicios externo el 29 de octubre, y la empresa afirmó que los traders que perdieron dinero serán reembolsados por completo. La firma de análisis de blockchain Bubblemaps estima que se sustrajeron aproximadamente 2,7 millones de dólares a unos 700 usuarios, aunque Polymarket no ha confirmado esa cifra.

Los investigadores vincularon el ataque con código malicioso insertado en un servicio de monitoreo de rendimiento de sitios web. Polymarket US, la plataforma regulada a nivel federal de la empresa para usuarios estadounidenses, no se vio afectada.

Cómo se desarrolló la pausa de operaciones

La respuesta de Polymarket comenzó con un cambio al modo de solo cancelación, que permitió a los clientes retirar sus órdenes existentes mientras se dejaban de procesar nuevas operaciones. La empresa también pausó el servicio que envía transacciones en nombre de los usuarios antes de revelar que uno de sus proveedores externos había sido comprometido.

Las operaciones permanecieron en pausa durante varias horas mientras la empresa investigaba. Una actualización posterior de la cuenta Polymarket Traders en X confirmó que las operaciones estaban completamente restablecidas.

Según la empresa, el proveedor comprometido tiene sede en Reino Unido. Polymarket afirmó que su propio sitio web no fue violado y que las autoridades policiales británicas fueron notificadas. El episodio muestra cómo las operaciones diarias de una plataforma pueden verse interrumpidas a través de un proveedor incluso cuando su propia infraestructura permanece intacta.

El hackeo no afectó a Polymarket US, la plataforma más reciente que opera como un exchange regulado a nivel federal para personas en Estados Unidos. La plataforma internacional insignia está basada en criptomonedas y está prohibida en Estados Unidos y varios otros países.

Rastreo de los fondos robados

Bubblemaps rastreó los fondos desde cientos de wallets de depósito hacia una dirección que identificó como perteneciente al atacante. Su diagrama mostró 712 wallets de depósito y unos 2,71 millones de dólares moviéndose por la ruta principal.

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

La firma indicó que los fondos robados fueron convertidos a POL, el token nativo de Polygon, y enviados a varias direcciones. También rastreó transferencias a Ethereum.

Cómo funcionó el ataque

Los investigadores vincularon código sospechoso con un servicio de monitoreo de rendimiento de sitios web. Estas herramientas normalmente ayudan a las empresas a ver cómo cargan y funcionan sus sitios web. Las violaciones que llegan a través del código de un proveedor en lugar de los sistemas propios de una empresa se conocen comúnmente en la industria como ataques de cadena de suministro, y los scripts de terceros insertados han sido durante mucho tiempo un vector de ataque familiar para las plataformas web. Según los investigadores, el código malicioso accedió a las sesiones de trading de los usuarios e inició acciones que movieron activos fuera de sus cuentas. El método exacto del ataque sigue bajo investigación.

En X, varios traders prominentes afirmaron haber perdido dinero. Polymarket se negó a decirle a WIRED cuántos traders fueron afectados o cuánto se perdió.

Incidentes previos y una ronda de financiamiento de mil millones de dólares

Esta no es la primera violación de la plataforma. En junio de 2026, otro incidente provocó pérdidas de más de 2 millones de dólares para los traders afectados. Según la estimación de Bubblemaps, el incidente más reciente superaría ese total. La empresa ha enfrentado controversias desde su lanzamiento en 2020, incluidos presuntos casos de trading con información privilegiada que llevaron a arrestos; los sospechosos en esos casos se han declarado no culpables. La plataforma permite a los usuarios operar sobre los resultados de eventos del mundo real.

En agosto de 2026, Polymarket recaudó mil millones de dólares en una ronda de financiamiento liderada por 1789 Capital, donde Donald Trump Jr. es socio. La empresa ahora está valorada en 21 mil millones de dólares.

Reembolsos prometidos, detalles pendientes

Polymarket ha prometido el reembolso total, pero no ha compartido un plazo ni un proceso de reclamos. Los usuarios esperan detalles sobre qué cuentas califican, cómo se calcularán las pérdidas y cuándo se devolverán los fondos. Las preguntas abiertas —el método exacto del ataque, el cómputo final de pérdidas y la mecánica del reembolso— ahora recaen en la investigación en curso de Polymarket, con las autoridades británicas también notificadas. Se espera un análisis completo del incidente por parte del equipo de Polymarket.

Fuente: Blockonomi