Polymarket reabrió su exchange internacional para operaciones el 29 de octubre de 2026, tras un breve cierre provocado por un script de monitoreo de terceros comprometido. La plataforma detuvo las órdenes entrantes, pausó las actividades del relayer y prometió a los clientes la devolución de su dinero. La plataforma separada de EE. UU. no se vio afectada.

Un script de monitoreo que accedía a sesiones de trading activas

La firma de ciberseguridad Hudson Rock descubrió un payload malicioso de 15,187 bytes incrustado en el script Real User Monitoring (RUM) de DebugBear. Los scripts RUM son una herramienta común de rendimiento web: los operadores de sitios los incrustan para que se ejecuten dentro del navegador de cada visitante y midan cómo cargan las páginas en condiciones reales. El código podía acceder a información de cuenta guardada, identificar los clientes autorizados utilizados por los traders e intentar vender posiciones o transferir tokens.

El código del sitio web de Polymarket mostró posteriormente que el script de DebugBear había sido eliminado, lo que indica que el ataque explotó código que se ejecutaba en el sitio web y no una falla en los smart contracts de la plataforma. Hudson Rock publicó sus hallazgos en un informe en su blog InfoStealers.

Modo de solo cancelación, y operaciones restablecidas a las 3 p.m. ET

Polymarket puso el exchange internacional en modo de solo cancelación el 29 de octubre de 2026. Su cuenta de estado indicó que un proveedor había sido comprometido y que el caso había sido remitido a las autoridades judiciales del Reino Unido.

Aproximadamente a las 3 p.m. ET de ese mismo día, las operaciones se reanudaron en el exchange. La compañía también anunció una política de reembolsos. Según el informe de CNBC, se espera que los clientes que perdieron menos de $10,000 reciban sus reembolsos antes del 30 de octubre de 2026. Los clientes que perdieron más deben firmar primero un formulario de liberación. Aunque Polymarket ha comunicado sus planes de reembolso, no ha confirmado que se haya emitido algún reembolso.

DebugBear pidió a sus clientes que retiraran su código

DebugBear también reconoció el problema de seguridad. El 29 de octubre de 2026, la compañía instó a sus clientes a eliminar su código de monitoreo mientras respondedores especializados investigaban.

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

La advertencia destacó una preocupación más amplia: los scripts de terceros pueden ejecutarse dentro de sitios web legítimos y, si se comprometen, pueden acceder a las sesiones activas de navegador de los usuarios. Dado que el aviso cubría cualquier sitio web que ejecutara el embed de RUM, también subrayó cómo un solo script de proveedor comprometido puede exponer muchos sitios no relacionados a la vez.

Estimaciones preliminares de pérdidas frente a pérdidas confirmadas

El daño financiero sigue sin estar claro por ahora. Betting Intelligence y Polysights rastrearon al menos $2.7 millones en retiros que involucraron 710 wallets el 29 de octubre de 2026, informó CNBC. Mientras tanto, Hudson Rock identificó alrededor de $2.19 millones en una dirección de recepción de respaldo, aunque ese saldo no establece cuánto fue robado. Polymarket aún no ha confirmado las pérdidas totales.

Dos fallas anteriores de proveedores, sin causa compartida

Este no fue el primer problema de seguridad relacionado con proveedores para Polymarket. En junio de 2026, Halborn y TechCrunch informaron sobre un ataque de script malicioso que, según reportes, drenó alrededor de $3 millones de al menos 11 wallets. Polymarket también prometió reembolsos en ese entonces.

Anteriormente, en diciembre de 2025, una violación separada de un proveedor de autenticación afectó las cuentas de los usuarios. Tanto Cryptopolitan como CertiK documentaron el incidente.

Los tres casos involucraron proveedores externos. Sin embargo, no hay evidencia que los vincule al mismo atacante o causa subyacente.

Lo que significa la exposición repetida a proveedores para el sector

Los incidentes repetidos se producen cuando los mercados de predicción atraen más actividad de trading. Un informe derivado de Artemis registró $76,460 millones en volumen de operaciones en los mercados monitoreados en septiembre de 2026, con Polymarket representando $13,120 millones. Estas cifras representan actividad de trading, no activos en custodia.

Ese crecimiento pone los problemas de seguridad bajo mayor escrutinio. CertiK advierte que las plataformas que combinan servicios web tradicionales con tecnología blockchain aún pueden tener vulnerabilidades centralizadas. Estos riesgos también podrían desalentar a los inversores institucionales. Según Jefferies, los hedge funds muestran interés pero permanecen cautelosos, con preocupaciones de liquidez, cumplimiento y reputación que continúan frenándolos.

Mientras tanto, KPMG destaca las diferentes responsabilidades de proveedores, brokers, exchanges y cámaras de compensación. Los exchanges regulados en EE. UU. deben cumplir requisitos de vigilancia, salvaguarda de sistemas y protección de participantes. Sin embargo, esas reglas no se aplican automáticamente a Polymarket International.

Para Polymarket, reanudar las operaciones es solo parte del desafío. La prueba mayor es si puede gestionar los riesgos de los proveedores externos y recuperar la confianza de los usuarios. Los indicadores a corto plazo incluyen si los reembolsos por menos de $10,000 llegan antes de la fecha anunciada del 30 de octubre, cómo se desarrolla el proceso del formulario de liberación para reclamos mayores, si la compañía confirma una cifra total de pérdidas y qué resulta de la remisión a las autoridades británicas y de las investigaciones en curso.