Polymarket: El hackeo que vació 710 billeteras y costará US$ 3,9 millones

Un hackeo informático dejó expuesta una de las debilidades menos visibles de las plataformas digitales, la seguridad. Esta vez, el blanco fue Polymarket, el mercado de predicción que debió interrumpir temporalmente las operaciones de su versión internacional después de que un código comprometido permitiera realizar movimientos no autorizados con las cuentas de algunos usuarios.

Las primeras estimaciones de especialistas en criptomonedas ubicaron el alcance del incidente en alrededor de 700 billeteras afectadas y pérdidas por al menos US$ 2,7 millones. Sin embargo, la respuesta de la compañía elevó el monto total de las compensaciones a US$ 3,9 millones, al incluir también perjuicios derivados de la suspensión temporal de las operaciones.

En una actualización publicada el 30 de octubre en su página oficial de estado, Polymarket informó que ya había reembolsado el 95% de las billeteras afectadas. También explicó que identificó a los usuarios elegibles mediante los registros de operaciones y los movimientos registrados en la blockchain.

¿Cómo fue el hackeo que obligó a Polymarket a suspender las operaciones?

El episodio ocurrió el jueves 29 de octubre y afectó a Polymarket.com, la plataforma internacional que opera con criptomonedas. Los primeros usuarios detectaron movimientos que no habían autorizado y denunciaron que sus posiciones habían sido vendidas o que sus fondos habían desaparecido.

La empresa confirmó que uno de sus proveedores externos había sido comprometido. Como respuesta, restringió las operaciones y pasó temporalmente a un sistema que permitía cancelar órdenes, pero impedía realizar nuevas transacciones. La interrupción duró aproximadamente una hora.

Una vez identificado y retirado el componente afectado, Polymarket restableció el servicio. También informó que había derivado el caso a las autoridades del Reino Unido, donde está radicado el proveedor involucrado.

La compañía aseguró que los usuarios perjudicados serían compensados. La plataforma estadounidense, que funciona de manera independiente de la internacional, no fue alcanzada por este incidente.

¿Qué empresa externa quedó involucrada en el ataque a Polymarket?

La investigación apuntó a DebugBear, una compañía británica especializada en herramientas para monitorear el rendimiento y la velocidad de los sitios web.

El vínculo surgió a partir de información publicada por investigadores y medios especializados. Una fuente familiarizada con el caso identificó a DebugBear como el proveedor comprometido, mientras que la propia compañía reconoció que atravesaba un incidente de seguridad y recomendó a sus clientes retirar el código de monitoreo incorporado en sus páginas.

La herramienta afectada estaba relacionada con Real User Monitoring (RUM), un sistema que permite recopilar información sobre la experiencia de navegación y el funcionamiento de un sitio. Para utilizarlo, los administradores deben incorporar un fragmento de código externo en sus páginas.

El problema fue que ese componente terminó ejecutando instrucciones maliciosas. De esta manera, una herramienta destinada a medir el rendimiento de una web se convirtió en el punto de entrada para acceder a las sesiones de determinados usuarios.

¿Cómo lograron los hackers retirar criptomonedas sin robar contraseñas?

El análisis técnico publicado por BleepingComputer permitió reconstruir el mecanismo utilizado. El código malicioso comprobaba si una persona tenía una sesión abierta en Polymarket y, cuando detectaba esa condición, intentaba aprovecharla para operar en su nombre.

Entre las acciones identificadas figuraban la venta de posiciones en los mercados de predicción y la transferencia de activos hacia billeteras controladas por los atacantes.

La particularidad del procedimiento es que no necesitaba necesariamente obtener la contraseña del usuario ni convencerlo de ingresar sus datos en una página falsa. El objetivo era aprovechar una sesión que ya estaba autenticada en el navegador.

Los investigadores también rastrearon movimientos de criptomonedas hacia direcciones sospechosas. BleepingComputer informó que una de las billeteras vinculadas con el ataque recibió activos por un valor cercano a los US$ 2,5 millones.

El análisis técnico también detectó que Polymarket había eliminado la integración con DebugBear de su código de producción poco antes de comunicar públicamente el incidente.

¿Cuántas billeteras fueron afectadas y cuánto dinero devolverá Polymarket?

Las estimaciones iniciales no coincidieron exactamente. Las firmas Betting Intelligence y Polysights calcularon que alrededor de 710 billeteras habían sufrido retiros no autorizados. Bubblemaps, por su parte, estimó unos 700 casos, mientras que otros análisis rastrearon movimientos por aproximadamente US$ 2,5 millones.

La actualización oficial de Polymarket permitió conocer el alcance de su respuesta económica. La empresa anunció que devolverá US$ 3,9 millones en total, una cifra superior al monto inicialmente atribuido al robo.

El desglose contempla US$ 2,7 millones correspondientes a los fondos retirados durante el ataque y otros US$ 1,2 millones destinados a cubrir pérdidas relacionadas con la pausa de operaciones.

Además, Polymarket señaló que no era necesario presentar reclamos individuales para recibir los pagos, ya que, identificó las billeteras elegibles mediante información de la blockchain y sus propios registros comerciales.

¿Qué medidas tomó Polymarket para evitar otro ataque informático?

Después de detectar la vulnerabilidad, la compañía eliminó el código comprometido, limpió las versiones almacenadas en caché y suspendió temporalmente las operaciones y las acciones del sistema que procesa determinadas transacciones.

También restableció las sesiones de inicio de los usuarios y anunció controles adicionales para los componentes externos que incorpora a su plataforma. Entre las medidas mencionadas figuran políticas de seguridad más estrictas, verificación de versiones, aislamiento de scripts y monitoreo continuo.