El jueves 29 de octubre, la plataforma de mercados de predicción Polymarket anunció un cierre temporal de su sitio de comercio internacional tras detectar un exploit que permitió retiros no autorizados de su token nativo POL. La brecha, rastreada a un proveedor de terceros comprometido, llevó al intercambio a entrar en modo solo cancelaciones, pausar los servicios de relayer y emitir una declaración pública de que la policía había sido notificada y que todos los usuarios afectados serían compensados.
Detalles técnicos del exploit
Los investigadores de seguridad de Hudson Rock identificaron un script alojado por DebugBear, un servicio de monitoreo de rendimiento web, como el vector del ataque. El script buscaba sesiones de Polymarket iniciadas, leía las tenencias de los usuarios y intentaba venderlas o transferirlas a una dirección de respaldo codificada (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18). Los datos de Arkham muestran que la dirección acumuló aproximadamente $2.65 millones en POL tras una serie de intercambios USDC.e‑a‑POL ejecutados a través del servicio cross‑chain Relay. Hudson Rock estimó el valor en alrededor de $2.19 millones, señalando que la cifra no está verificada, mientras que analistas citados por Bitcoin.com y Unchained situaron la pérdida cerca de $2.7 millones.
El código malicioso se incrustó en el sitio de producción de Polymarket a través del embed del proveedor comprometido. Una vez eliminado, el código del sitio registró la eliminación del script, pero los investigadores aún no han determinado cómo ocurrió la primera intrusión ni cuántas cuentas fueron objetivo.
La página de estado de Polymarket indicó que el intercambio entró en modo solo cancelaciones a las 2:05 p.m. ET, impidiendo nuevas órdenes mientras permitía a los usuarios cancelar las existentes. Las acciones de los relayers, que envían transacciones firmadas en nombre de los usuarios, también se detuvieron. A las 2:33 p.m. ET la plataforma publicó que había “identificado y corregido un problema que afectaba a nuestra plataforma internacional” y que un proveedor de terceros había sido comprometido.
El comercio se reanudó aproximadamente a las 3:00 p.m. ET, con la página de estado marcando el incidente como resuelto a las 3:05 p.m. ET. Polymarket reiteró en X que reembolsaría totalmente a todos los traders que sufrieran pérdidas. La compañía también rotó la clave interna comprometida, revocó permisos de producción y anunció planes para migrar las claves privadas a un sistema de gestión de claves más seguro.
Contexto y marco regulatorio
El incidente de octubre sigue a dos eventos de seguridad anteriores en Polymarket este año: un compromiso de clave privada en mayo que drenó alrededor de $700,000, y un exploit de front‑end en junio que robó aproximadamente $3 millones de menos de 15 cuentas. En cada caso, las brechas se originaron en puntos de acceso externos más que en vulnerabilidades del código de los smart contracts de Polymarket.
Separadamente, Unchained informó que la Comisión de Comercio de Futuros de Commodities de EE. UU. está investigando si Polymarket mantuvo a usuarios estadounidenses fuera de su mercado offshore en cumplimiento de un acuerdo de 2022. Si bien la investigación no está relacionada con el exploit de octubre, subraya la mayor supervisión regulatoria de las plataformas de mercados de predicción.
Qué observar a continuación
Los observadores monitorearán el proceso de reembolso de Polymarket para confirmar que todos los usuarios afectados reciban compensación completa. Se espera mayor escrutinio sobre el proveedor de terceros y las prácticas de seguridad de DebugBear, así como cualquier divulgación adicional sobre cómo se inyectó el script malicioso. Finalmente, los reguladores podrían examinar si los ataques repetidos en la cadena de suministro constituyen un riesgo material que justifique una supervisión más estricta de las plataformas DeFi.
Debate 0