Polymarket reembolsa a sus traders tras un ataque por script

Un script de monitorización del rendimiento que se cargaba en polymarket.com fue sustituido el 29 de octubre por código malicioso, que usó las sesiones abiertas de los traders para vender posiciones y sacar fondos de sus carteras. Polymarket afirma que devolverá 3,9 millones de dólares a los traders y que ha puesto el caso en manos de las fuerzas de seguridad. El incidente afectó a la plataforma internacional de Polymarket. Según CNBC, la plataforma estadounidense de la empresa no se vio comprometida.

Lo que ha confirmado Polymarket

Josh Stevens, VP of Engineering de Polymarket, describió el ataque en una publicación en X que la cuenta principal @Polymarket compartió de nuevo el 30 de octubre: «Ayer, un script de rendimiento de un tercero en polymarket.com fue comprometido por el atacante de su proveedor y sustituido por otro diseñado para atacar a nuestros usuarios. Durante un breve lapso, utilizó sesiones abiertas para vender posiciones y mover fondos. El proveedor ha confirmado públicamente la brecha.»

Según la página de estado de Polymarket, la plataforma estuvo en modo de solo cancelación (cancel-only; solo se pueden cancelar órdenes abiertas), con las acciones del relayer en pausa, el 29 de octubre de 14:05 a 15:05 ET, es decir, de 19:05 a 20:05 en la España peninsular. Polymarket afirma que retiró el script comprometido «en menos de una hora», vació las cachés y restableció todas las sesiones de inicio de sesión activas.

En su informe posterior al incidente (postmortem), publicado en la tarde-noche del 30 de octubre, Polymarket escribe: «En total, devolvemos 3,9 M$ a los traders: los 2,7 M$ más 1,2 M$ para cubrir las pérdidas derivadas de la pausa.» El dinero adicional cubre las posiciones que el script vendió a la fuerza y las que perdieron valor mientras las operaciones estaban en pausa. Antes ese mismo día, la cuenta @PolymarketTrade indicó que 689 de las 726 carteras afectadas habían sido reembolsadas por completo y que las 37 restantes se iban pagando a medida que se verificaban. El informe cifra la proporción en el 95 % de las carteras afectadas. Polymarket dice que no hace falta presentar reclamaciones ni abrir tickets, y remite a los traders que consideren erróneo un importe a un formulario enlazado en el informe.

Lo que cuentan otros

A 30 de octubre, Polymarket no nombra al proveedor en sus publicaciones ni en su informe. BleepingComputer y la firma de seguridad Hudson Rock afirman que el script procedía de DebugBear, una empresa de monitorización del rendimiento de sitios web, y citan un cambio de código en Polymarket titulado «remove debugbear rum script». CNBC recoge el mismo vínculo a través de una persona al tanto del asunto. La propia DebugBear escribió el 29 de octubre que estaba «afectada por un incidente de seguridad en curso» y pidió a los clientes de su producto Real User Monitoring (RUM) que retiraran su código de inserción. En otra publicación, a primera hora del 31 de octubre (CET), DebugBear dijo que sus registros DNS habían sido comprometidos a través de su registrador de dominios y que el ataque, «según nuestra investigación inicial», «tuvo como objetivo el sitio web de un cliente específico».

Bubblemaps y BleepingComputer publicaron estimaciones el 29 de octubre, antes de que Polymarket diera sus propias cifras. Bubblemaps contó «más de 700 usuarios vaciados», las firmas de análisis que cita CNBC contaron 710 carteras, y BleepingComputer siguió unos 28,6 millones de tokens POL, con un valor aproximado de 2,57 millones de dólares, hasta carteras vinculadas al atacante. Las cifras de la propia Polymarket son 2,7 millones de dólares y 726 carteras.

CNBC también informa de que Polymarket dijo a los usuarios en Discord que quienes hubieran perdido menos de 10.000 dólares recuperarían los fondos antes del 30 de octubre, y que las pérdidas mayores exigirían un documento de renuncia a reclamaciones firmado (release). La publicación de Polymarket del 30 de octubre y el informe dicen que no hacen falta reclamaciones ni tickets y no mencionan ningún documento de renuncia.

No es el primer incidente de este tipo. En junio de 2026, Polymarket dijo que un proveedor externo había sido comprometido y había inyectado un script malicioso en su interfaz para algunos usuarios. CoinDesk, citando a la firma de análisis de cadenas de bloques AMLBot, cifró entonces las pérdidas en unos 3,1 millones de dólares procedentes de 11 carteras.

Nuestra lectura

Para quien tenga criptoactivos en un sitio de juego o de apuestas, lo importante es dónde se ejecutó el ataque. Según Polymarket, el código malicioso se ejecutó en su propio sitio y aprovechó sesiones ya iniciadas. No era una copia falsa del sitio, y Polymarket no lo describe como un fallo de sus contratos inteligentes. Un ataque a la cadena de suministro de este tipo es difícil de detectar para un usuario. Cerrar las sesiones que no se usan y no dejar en una plataforma más saldo del necesario reduce la exposición. Si te afectó, infórmate sobre los reembolsos solo por los canales oficiales de Polymarket: este tipo de incidentes suele atraer falsos mensajes de «reembolso».

Hemos tratado otro incidente cripto en la brecha de la cartera caliente de Gamdom y la plataforma estadounidense de Polymarket en el fraude con tarjetas robadas y las retiradas de fondos de un mismo origen. En materia de regulación, véanse Míchigan y los contratos deportivos de Polymarket y los avisos de bloqueo DNS de Noruega.

Disponibilidad: La plataforma internacional de Polymarket está bloqueada o restringida en varios países; su disponibilidad depende del país de residencia.