Hackers vaciaron las billeteras de unos 700 usuarios de Polymarket y robaron al menos USD 2,7 millones

Polymarket suspendió durante cerca de una hora las operaciones de su plataforma internacional el 29 de octubre, después de que hackers vaciaran las billeteras de cientos de usuarios. Según firmas de análisis de datos cripto, unos 710 usuarios perdieron al menos USD 2,7 millones. La empresa prometió reembolsar a todos los afectados.

Polymarket es una plataforma donde los usuarios apuestan sobre el resultado de eventos, desde las elecciones legislativas de Estados Unidos hasta la fecha de lanzamiento de un videojuego. La versión internacional funciona con criptomonedas y está prohibida en Estados Unidos y en otros países, según Wired.

La empresa informó que uno de sus proveedores externos fue vulnerado y que derivó el caso a las autoridades. “Cualquiera que haya sido afectado será compensado”, escribió en un comunicado citado por BleepingComputer. Polymarket pasó a un modo en el que solo se permitía cancelar órdenes a las 14:05, hora del Este de Estados Unidos.

Las operaciones volvieron a la normalidad a las 15:05, según el relato de la propia empresa recogido por BleepingComputer. Los primeros reclamos de billeteras vaciadas aparecieron cerca de las 13:30, de acuerdo con The Washington Post, y varios traderes conocidos se quejaron de pérdidas en la red social X.

El código malicioso venía de una herramienta de medición web

Una persona al tanto del caso dijo a CNBC que el problema se originó en DebugBear, un servicio de monitoreo del rendimiento de sitios web con sede en el Reino Unido. DebugBear confirmó en X que sufrió un “incidente de seguridad” y pidió a sus clientes retirar su código de monitoreo de las páginas.

BleepingComputer analizó el script (un programa que se ejecuta en el navegador del usuario) y concluyó que fue alojado en la infraestructura de DebugBear. El código comprobaba si el visitante tenía una sesión abierta en Polymarket y, si era así, usaba esa sesión para operar en su nombre.

Según ese análisis, el programa intentaba vender las posiciones de los usuarios en los mercados de apuestas o transferir sus fichas a una billetera controlada por el atacante. También intentaba convertir las criptomonedas de la víctima en activos que pudieran enviarse a esa billetera.

La firma de seguridad Hudson Rock identificó la billetera del atacante. BleepingComputer rastreó que transfirió unos 28,6 millones de POL, una criptomoneda valuada en cerca de USD 2,57 millones, a otras tres billeteras. Hudson Rock también halló un cambio en el código de Polymarket, fechado a las 13:59, que eliminaba la integración con DebugBear.

Entre 700 y 710 afectados y un monto aún sin confirmar

Las firmas Betting Intelligence y Polysights, citadas por CNBC, calcularon que una cuenta retiró al menos USD 2,7 millones de 710 billeteras. La firma de análisis Bubblemaps estimó unos 700 afectados y la misma cifra de dinero, según Wired. BleepingComputer, por su parte, rastreó cerca de USD 2,5 millones hasta una billetera sospechosa.

Polymarket se negó a decirle a Wired cuántos usuarios se vieron afectados o cuánto dinero se perdió. La plataforma para usuarios dentro de Estados Unidos, que opera como un mercado financiero regulado y es independiente de la internacional, no sufrió el ataque.

Los usuarios a quienes se les retiraron menos de USD 10.000 recibirían la restitución de sus fondos el 30 de octubre, según lo que Polymarket comunicó a los usuarios en Discord, citado por CNBC. Quienes perdieron más de esa cifra deberán firmar un formulario de renuncia a reclamos para recibir el reembolso.