Polymarket frenó cerca de una hora las operaciones de su versión internacional el 29 de octubre, luego de que hackers vaciaran las billeteras de cientos de usuarios. Según firmas de análisis de criptoactivos, alrededor de 710 usuarios perdieron al menos US$2,7 millones. La empresa aseguró que reembolsará a todos los afectados.
La plataforma funciona como mercado de predicciones, donde los usuarios apuestan al resultado de eventos que van desde elecciones en Estados Unidos hasta fechas de lanzamientos de videojuegos. En su versión internacional, opera con criptomonedas y, según Wired, no está disponible para usuarios de Estados Unidos ni de ciertos otros países.
Polymarket informó que el incidente tuvo su origen en la vulnerabilidad de uno de sus proveedores externos y que, a partir de ahí, la situaciones se derivó a las autoridades. En un comunicado citado por BleepingComputer, la firma afirmó que “quien haya sido afectado será compensado”. Durante la respuesta, la plataforma quedó en un modo en el que solo se permitían cancelar órdenes a las 14:05, hora del Este.
Las operaciones volvieron a la normalidad a las 15:05, según lo detallado por la propia Polymarket. Las primeras quejas de billeteras vaciadas comenzaron alrededor de las 13:30, según The Washington Post, y varios traders conocidos expresaron sus pérdidas en la red social X.
Un informante familiarizado con el caso comentó a CNBC que el origen del fallo habría sido DebugBear, un servicio británico de monitoreo de rendimiento de sitios web. DebugBear confirmó en X haber sufrido un incidente de seguridad y pidió a sus clientes retirar su código de monitoreo de las páginas afectadas.
BleepingComputer analizó el script, que estaba alojado en la infraestructura de DebugBear. El programa revisaba si el visitante tenía una sesión abierta en Polymarket y, si existía, la utilizaba para operar en nombre del usuario. Según ese análisis, el software intentaba vender posiciones de los mercados o transferir fichas a una billetera controlada por el atacante, e incluso convertir criptomonedas de la víctima en activos aptos para enviar a esa billetera.
La firma Hudson Rock identificó la billetera del atacante. BleepingComputer rastreó una transferencia de unas 28,6 millones de POL —valoradas en aproximadamente US$2,57 millones— hacia otras tres billeteras. También se detectó un cambio en el código de Polymarket fechado a las 13:59 que eliminaba la integración con DebugBear.
Betting Intelligence y Polysights —citadas por CNBC— estimaron que al menos una cuenta retiró el total de US$2,7 millones de 710 billeteras. Bubblemaps, por su parte, ubicó cerca de 700 afectados con un perjuicio similar, de acuerdo con Wired. En tanto, BleepingComputer señalo aproximadamente US$2,5 millones movidos hacia una billetera sospechosa.
Polymarket se negó a informar cuántos usuarios resultaron afectados o el monto total perdido a Wired. La empresa indicó que continúa trabajando en la investigación y en la compensación de los usuarios afectados, sin detallar cifras oficiales.
