Usuarios de Polymarket pierden $2.7 millones tras un hackeo de script de terceros

⟫ 31/10/2026 ⟫ Deeba Ahmed

Fuente: HackRead

**Incidente de Seguridad en Polymarket: Un Robo que Sacudió el Mercado de Predicciones**

El 29 de octubre de 2023, la plataforma de mercados de predicción Polymarket detuvo temporalmente el comercio en su intercambio internacional tras recibir informes de retiros no autorizados de las carteras de los usuarios. Este evento ha puesto en evidencia la fragilidad de las plataformas que dependen de scripts de terceros para su funcionamiento, un aspecto que afecta no solo a Polymarket, sino también a toda la industria de las criptomonedas y los mercados de predicción.

Según estimaciones de las firmas de análisis de blockchain Betting Intelligence y Polysights, los atacantes lograron sustraer aproximadamente 2,7 millones de dólares de 710 carteras. Este robo se llevó a cabo a través de un script de monitorización de rendimiento de terceros comprometido, proporcionado por DebugBear, un proveedor británico de servicios de rendimiento web. El código malicioso se ejecutó en Polymarket.com, lo que permitió a los atacantes manipular las sesiones activas de los usuarios.

En su actualización tras el incidente, Polymarket explicó que el atacante reemplazó el script de monitorización de DebugBear con código malicioso diseñado específicamente para afectar a sus usuarios. Para aquellos que tenían la plataforma abierta durante un breve período, el script aprovechó sus sesiones activas para vender posiciones de trading y trasladar fondos fuera de sus carteras.

Es relevante destacar que el incidente no implicó una violación de los contratos inteligentes de Polymarket; más bien, los atacantes abusaron de un script de terceros que era de confianza y que se ejecutaba en el sitio web. En respuesta a la situación, Polymarket eliminó el código comprometido, limpió sus cachés, detuvo el comercio y las acciones de relayer, y restableció las sesiones de inicio de sesión activas.

La plataforma pasó a un modo de "cancelación solamente" alrededor de las 2:00 p.m. ET y reanudó el comercio a las 3:00 p.m. ET. Es importante señalar que su plataforma estadounidense no se vio afectada. DebugBear reconoció que estaba lidiando con un "incidente de seguridad en curso" y solicitó a los clientes que utilizan su producto de monitorización de usuarios reales (RUM) que eliminaran el código incrustado.

Polymarket remitió el incidente a las autoridades británicas y se comprometió a reembolsar a los traders afectados. Para la tarde del viernes, la compañía informó que el 95% de las carteras afectadas habían sido reembolsadas. En total, Polymarket planeaba devolver 3,9 millones de dólares: 2,7 millones correspondientes a los fondos robados y otros 1,2 millones para cubrir las pérdidas derivadas de la pausa en el comercio.

La compañía declaró en su actualización: "En total, estamos devolviendo 3,9 millones de dólares a los traders: los 2,7 millones más 1,2 millones para cubrir las pérdidas relacionadas con la pausa. No se necesitan reclamaciones ni tickets: identificamos las carteras elegibles a partir de los datos on-chain y de trading".

Los usuarios que sufrieron pérdidas inferiores a 10,000 dólares debían recibir sus reembolsos para el 30 de octubre, mientras que aquellos con pérdidas más elevadas debían completar un formulario de liberación. Este incidente se produjo días antes de las elecciones de mitad de mandato en EE. UU. del 3 de noviembre, cuando se esperaba un aumento en los volúmenes de trading en los mercados de predicción. Además, fue el segundo compromiso de un sitio web de terceros reportado por Polymarket en lo que va del año.

En abril, la plataforma rechazó la afirmación de un hacker que aseguraba haber robado más de 300,000 registros de usuarios, argumentando que la información ya era públicamente accesible a través de sus APIs y datos de blockchain. Posteriormente, en junio, atacantes utilizaron código malicioso inyectado a través de un proveedor para robar alrededor de 3 millones de dólares de los usuarios.

Los profesionales de la seguridad digital subrayan que la gestión de scripts web de terceros sigue siendo un desafío complicado para las plataformas en línea. Gareth Bowker, Jefe de Seguridad de la Información en Jscrambler, comentó acerca de por qué las protecciones web estándar suelen fallar en estos escenarios. "El script malicioso intercambió datos con un servidor en el propio dominio de DebugBear. Una política de seguridad de contenido que permita el dominio de un proveedor de confianza habría permitido ese tráfico. Las verificaciones de integridad de subrecursos también tienen un uso limitado para scripts de monitorización de usuarios reales, ya que los proveedores actualizan esos scripts con frecuencia. Los controles estáticos son necesarios, pero no son suficientes por sí solos. Las organizaciones también necesitan monitorear qué hace el código de terceros en el navegador en tiempo de ejecución".

Bowker también discutió las medidas que los traders deben tomar tras el incidente, afirmando que "la rápida decisión de Polymarket de detener el comercio y su compromiso de reembolsar a los traders afectados en su totalidad deberían limitar las pérdidas para los usuarios. Aun así, los usuarios deben revisar su historial de transacciones y revocar cualquier aprobación de tokens que no reconozcan. Un usuario no puede detectar razonablemente un script malicioso en un sitio de confianza. El control sobre lo que se ejecuta en ese sitio es responsabilidad de la plataforma".

Este incidente no solo resalta la vulnerabilidad inherente en la dependencia de terceros para la funcionalidad crítica de las plataformas de criptomonedas, sino que también plantea preguntas sobre la seguridad de los usuarios y la responsabilidad de las empresas en la protección de sus activos. Con el crecimiento continuo de los mercados de predicción y las criptomonedas, el desarrollo de mejores prácticas y tecnologías de seguridad es más urgente que nunca.

◢ VULNERABILIDADES ◣

Polymarket Users Lose $2.7 Million in Third-Party Script Hack

⟫ 31/10/2026 ⟫ Deeba Ahmed

Source: HackRead

Prediction market platformPolymarketbriefly halted trading on its international exchange on Thursday, October 29, after users reported unauthorized withdrawals from their wallets. Blockchain analytics firms Betting Intelligence and Polysights estimated that attackers took about $2.7 million from 710 wallets. The incident involved a compromised third-party performance-monitoring script supplied by DebugBear, a UK-based website performance vendor whose code ran onPolymarket.com. In itspost-incident update, Polymarket said the attacker replaced DebugBear’s monitoring script with malicious code designed to target its users. For users who had Polymarket open during a short window, the script used their active sessions to sell trading positions and move funds out of their wallets. The incident didn’t involve a reported breach of Polymarket’ssmart contracts; instead, attackers reportedly abused a trusted third-party script running on the website. Polymarket removed the compromised code, cleared its caches, paused trading and relayer actions, and reset active login sessions. The platform moved into cancel-only mode at around 2:00 p.m. ET and resumed trading at 3:00 p.m. ET. Its separate US platform was not affected. DebugBearacknowledgedan “ongoing security incident” and asked customers using its real-user monitoring (RUM) product to remove the embedded code. Polymarket referred the incident to UK law enforcement and pledged to reimburse affected traders. By Friday afternoon, it said95% of affected wallets had been refunded.The company said it was returning $3.9 million in total: $2.7 million for stolen funds and another $1.2 million to cover losses linked to the trading pause. “In total, we’re returning $3.9M to traders: the $2.7M plus $1.2M to cover pause-related losses. No claims or tickets needed: we identified eligible wallets from on-chain and trading data,” the company stated in its update. Users whose losses were below $10,000 were due to receive refunds by October 30, while those with larger losses were asked to complete a release form. The incident came days before the November 3 US midterm elections, when prediction markets expected higher trading volumes. It was also Polymarket’s second reported third-party website compromise this year. In April, the platformrejected a hacker’s claimof stealing more than 300,000 user records, arguing that the information was already publicly accessible through its APIs and blockchain data. Then in June, attackers used malicious code injected through a vendor tosteal about $3 millionfrom users. Security professionals note that managing third-party web scripts remains a tough problem for online platforms. In comments shared with Hackread.com, Gareth Bowker, Head of Information Security at Jscrambler, explained why standard web protections often fail in these scenarios: “The malicious script exchanged data with a server on DebugBear’s own domain. A content security policy that permits a trusted vendor’s domain would have allowed that traffic. Subresource integrity checks are also of limited use for real-user monitoring scripts, because vendors update those scripts frequently. Static controls are necessary, but they are not sufficient on their own. Organizations also need to monitor what third-party code does in the browser at runtime.” Bowker also discussed what steps traders should take following the incident, stating, “Polymarket’s prompt decision to halt trading, and its commitment to reimburse affected traders in full, should limit the losses for users. Users should still review their transaction history and revoke any token approvals they do not recognize. A user cannot reasonably detect a malicious script on a trusted site. Control over what runs on that site is the platform’s responsibility.”

← VOLVER A CIBERSEGURIDAD