**Intrusión en Polymarket: Un Ataque que Sacó a la Luz las Vulnerabilidades de los Mercados de Predicción**
En un mundo donde las plataformas de predicción y criptomonedas han ganado una popularidad sin precedentes, la ciberseguridad se ha convertido en un tema de creciente preocupación. El reciente ataque a Polymarket, un mercado de predicción, el 29 de octubre de 2023, ha puesto de manifiesto las fragilidades inherentes a estas plataformas, afectando no solo a los usuarios individuales sino también a la confianza en el ecosistema de las criptomonedas en general. Aproximadamente 726 wallets fueron impactadas, con pérdidas que ascienden a 2,7 millones de dólares, resaltando la vulnerabilidad de las inversiones en criptomonedas y la necesidad imperiosa de robustecer las medidas de seguridad.
El ataque se llevó a cabo a través de un código malicioso que reemplazó un script de velocidad de página que Polymarket cargaba desde una empresa externa, DebugBear. Este script, que tenía como objetivo medir la rapidez de carga de las páginas web para los visitantes reales, fue sustituido por un archivo que permitió a los atacantes acceder a los fondos de los traders que ya estaban autenticados en la plataforma. En cuestión de menos de una hora, el hackers logró trasladar cerca de 2,64 millones de dólares en criptomonedas a sus propias wallets.
La investigación de Hudson Rock, una firma de ciberseguridad, reveló que el código malicioso reutilizaba el acceso que un trader autenticado ya tenía en una página abierta de Polymarket. Al analizar el archivo sin ejecutarlo, los investigadores descubrieron que el código leía los detalles de la cuenta que Polymarket almacenaba en el navegador, incluyendo un conjunto de claves de API de trading. Sin embargo, estas claves por sí solas no eran suficientes para realizar órdenes en la plataforma, ya que también era necesaria una firma de wallet. Hudson Rock no encontró ninguna parte del código que enviara las claves, contraseñas o frases semilla al servidor del atacante.
El código malicioso tenía dos rutas de acción. Para las cuentas que se autenticaban con su propia wallet de criptomonedas, el código movía las posiciones directamente a la wallet de los hackers. Por otro lado, para las cuentas que se autenticaban a través de correo electrónico, el ataque se ejecutaba vendiendo posiciones a precios cada vez peores antes de transferir el dinero. En ambos escenarios, el código solicitaba al firmante de la cuenta que aprobara sus peticiones, que luego eran enviadas al relayer de Polymarket para su ejecución. Hudson Rock explicó que una simple solicitud de firma no prueba que el trader haya aceptado la acción sin previa consulta, ya que el proveedor de la wallet puede rechazar la solicitud o aplicar sus propias reglas.
Según los rastreos blockchain realizados por Ohey, la wallet comprometida recibió sus primeros fondos a las 17:10 UTC y sus últimos a las 18:02 UTC, acumulando un total de 28,6 millones de tokens POL de 33 wallets. En un análisis posterior, se constató que esos 28,6 millones de POL equivalían a aproximadamente 2,64 millones de dólares, valor que solo refleja la cantidad de tokens y no las posiciones subyacentes.
Polymarket, consciente de la gravedad de la situación, emitió su primer comunicado sobre la actividad no autorizada en las wallets de los usuarios a las 17:38 UTC y a las 18:05 UTC anunció que su intercambio estaba en modo de solo cancelación, con las acciones del relayer detenidas. La compañía aseguró que había eliminado el script malicioso "en menos de una hora", además de limpiar todas las cachés, reiniciar todas las sesiones de inicio de sesión activas y pausar el trading hasta que el sitio estuviese completamente seguro. El caso ha sido referido a las autoridades competentes.
A fecha del 30 de octubre, Polymarket había reembolsado completamente a 689 de las 726 wallets afectadas, mientras que las restantes 37 estaban siendo verificadas para proceder con sus reembolsos. Además, la compañía se comprometió a abonar 1,19 millones de dólares a aproximadamente 5,500 wallets que habían perdido dinero durante la pausa de trading o que tenían posiciones comprometidas. En total, Polymarket está devolviendo 3,9 millones de dólares a los traders perjudicados.
DebugBear, por su parte, ha instado a sus clientes a eliminar el código embebido de su producto RUM de sus sitios web. Al revisar el dominio que sirvió el archivo malicioso, se constató que cdn.debugbear[.]com no tenía registros DNS válidos al momento de la comprobación el 1 de noviembre.
En respuesta al ataque, Polymarket ha decidido reintroducir scripts de terceros con controles adicionales, como una política de seguridad de contenido (CSP) más robusta, versiones fijadas y sandboxing. Hudson Rock ha proporcionado recomendaciones para prevenir incidentes similares, sugiriendo que las plataformas eviten cargar código de terceros innecesarios en páginas donde se realicen transacciones, y que utilicen la Integridad de Subrecursos (SRI) para asegurar que los archivos no sean alterados.
Para los traders, Hudson Rock aconseja rechazar cualquier solicitud de firma que no hayan anticipado, enfatizando la importancia de la cautela en un entorno donde la seguridad es crítica. Este ataque no solo ha puesto en evidencia las vulnerabilidades en las plataformas de predicción, sino que también destaca la necesidad de que los usuarios sean proactivos en la protección de sus activos digitales.