Polymarket: roban unos US$2,7 millones a 737 cuentas con un script de un proveedor externo

Atacantes vaciaron unas 737 cuentas de la plataforma internacional de Polymarket por unos US$2,73 millones el jueves 29 de octubre, según el análisis on-chain de Bitquery, por un script de un proveedor externo que se cargaba dentro de la propia página. La empresa confirmó que uno de sus proveedores fue comprometido, frenó las operaciones durante unas horas y prometió compensar a los afectados. Importa porque, según los investigadores, las víctimas no tuvieron que hacer nada: el código buscaba sesiones abiertas y operaba con los permisos que el navegador del usuario ya tenía.

Qué pasó y cuánto se perdió

Según los datos de Bitquery recogidos por ICObench, las 737 cuentas se vaciaron entre las 17:10 y las 18:10 UTC. El mayor retiro fue de US$358.369, desde la cuenta “hewhodoesit”, a las 18:00 UTC. A las 19:11 UTC, después de que Polymarket anunciara el arreglo, una cuenta ya vaciada perdió otros US$10,99, algo que Bitquery señaló como posible indicio de que la falla no estaba del todo cerrada.

No hay un total oficial. Las estimaciones independientes varían según el método:

De acuerdo con The Block, los fondos de esa billetera venían de varios cambios de USDC.e a POL hechos a través de Relay y luego se movieron a otras direcciones. Un trader que usa el nombre CarOnPolymarket escribió en X que le habían drenado US$800.000, según Decrypt; es su afirmación y no está verificada.

Cómo funcionaba el script

La firma de ciberseguridad Hudson Rock encontró el código para vaciar billeteras en un script servido desde DebugBear, un servicio de monitoreo de velocidad de sitios web. Según el resumen de Cybersecurity News, en lugar de solo medir el rendimiento de la página, el script buscaba una sesión de trading activa y leía datos guardados en el navegador, como la dirección de la billetera y las credenciales de la API de trading. Según el tipo de cuenta, intentaba transferir las posiciones directamente o venderlas y luego mover el saldo.

Hudson Rock indicó que los contratos inteligentes no fueron tocados y que no ha establecido cómo empezó el compromiso ni cuántos usuarios alcanzó. Polymarket no nombró al proveedor. DebugBear dijo en X que estaba “afectada por un incidente de seguridad en curso” y pidió a los clientes de su producto de monitoreo que retiraran su código de sus sitios (en traducción propia). No ha dicho que su script haya sido el origen del robo.

Qué dijo Polymarket y qué falta confirmar

La plataforma pasó a modo “solo cancelar” y pausó su relayer, el sistema que envía las transacciones de los usuarios. En X escribió: “Uno de nuestros proveedores externos fue comprometido, y remitimos esto a las autoridades correspondientes”, y agregó que “cualquiera que haya sido afectado será compensado por completo” (en traducción propia), según recoge Decrypt. Las operaciones se reanudaron hacia las 3:00 p. m. de Nueva York.

Según CNBC, el caso se remitió a autoridades del Reino Unido y la plataforma de Polymarket en Estados Unidos no se vio afectada. El mismo medio informó, citando mensajes de Polymarket en Discord, que las pérdidas menores de US$10.000 se devolverían el 30 de octubre y que las mayores exigirían firmar un documento de renuncia. Polymarket no lo ha confirmado en un comunicado público.

No es la primera vez. En junio, otro proveedor externo comprometido permitió inyectar código en la web de Polymarket y robar unos US$3 millones de menos de 15 cuentas, según Decrypt. La lectura de Criptoinforme: en los dos casos, el punto débil fue una pieza externa en la que la plataforma confiaba. Para el público hispanohablante hay otro dato: Polymarket está bloqueada en España desde mayo.

Qué puedes hacer como usuario

• Cierra sesión en las plataformas donde tienes saldo cuando no las estés usando. Este ataque, según Hudson Rock, necesitaba una sesión abierta.
• No dejes fondos ociosos en plataformas de trading o de predicción. Lo que no necesitas para operar puede estar en una billetera bajo tu control.
• Revisa tu historial de órdenes y retiros. Si ves movimientos que no hiciste, repórtalos por los canales oficiales.
• Desconfía del “soporte” que te contacte por mensaje directo con enlaces de recuperación. Hudson Rock recomienda no abrir enlaces no solicitados y no compartir nunca tu frase semilla.

Te puede interesar: nuestra nota sobre Polymarket, Kalshi y Brasil y el hackeo a una billetera caliente de Binance.

Fuentes consultadas el 30 de octubre de 2026: The Block, Decrypt, Cybersecurity News, ICObench (con datos de Bitquery), Cyber Kendra, Yahoo Finance y KuCoin News (con información de CNBC). Este contenido es informativo y no es una recomendación de inversión.