Puntos Clave de la Noticia:
- Monto sustraído: Datos on-chain y reportes de The Block indican que atacantes drenaron aproximadamente $2,65 millones a través de más de 700 monederos afectados.
- Vector del ataque: La brecha se originó en la librería de monitorización de un proveedor externo de rendimiento web (DebugBear), que introdujo un script malicioso en el frontend.
- Respuesta técnica y financiera: El protocolo activó el modo de solo cancelación a las 18:05 UTC del 29 de octubre de 2026 y confirmó el reembolso total a los usuarios perjudicados.
Este jueves 29 de octubre Polymarket restableció sus operaciones de intercambio tras resolver un incidente de seguridad que comprometió $2,65 millones de dólares en fondos de usuarios.
Trading is now fully back online.
We’ll make this right and are fully reimbursing all affected traders.
— Polymarket Traders (@PolymarketTrade) October 29, 2026
La interrupción temporal comenzó cuando la compañía colocó su motor de casación en modo de «solo cancelación». Según comunicó la empresa a través de su cuenta X, la medida preventiva impidió la ejecución de nuevas órdenes mientras los ingenieros investigaban retiros anómalos detectados en el protocolo.
La actividad inusual fue advertida inicialmente por analistas on-chain y firmas de seguridad blockchain. Registros de Polygonscan y la firma Arkham Intelligence mostraron transferencias concentradas de POL y USDC que superaron los $2,65 millones, distribuidas en al menos 710 billeteras individuales.
Polymarket precisó que los contratos inteligentes subyacentes desplegados en la red Polygon no sufrieron fallas de código. El origen del ataque radicó en el compromiso de un proveedor externo de software de monitorización de rendimiento en tiempo real (RUM), identificado por investigadores de seguridad como DebugBear.
El script suministrado por el proveedor externo contenía un código JavaScript alterado que actuó como drenador de billeteras al interactuar con las sesiones activas en la interfaz web. Hudson Rock documentó que el archivo malicioso fue servido directamente desde la red de entrega de contenido (CDN) de dicho proveedor.
Vector de ataque en la cadena de suministro web y respuesta del protocolo
Alrededor de las 18:00 UTC, DebugBear confirmó estar experimentando un incidente de seguridad en curso y solicitó a sus clientes retirar sus fragmentos de código integrados. En paralelo, el equipo de desarrollo de Polymarket eliminó la dependencia externa de su compilación de producción mediante una actualización inmediata de código.
«Uno de nuestros proveedores externos fue comprometido y hemos remitido este asunto a las fuerzas del orden pertinentes», declaró la administración de Polymarket en su informe de situación. La plataforma notificó el caso a autoridades policiales del Reino Unido, jurisdicción donde opera el proveedor de monitorización involucrado.
El incidente afectó exclusivamente al dominio global Polymarket.com, mientras que las operaciones institucionales o divisiones reguladas no registraron anomalías, según fuentes cercanas al caso citadas por CNBC. Los contratos de custodia del protocolo conservaron la totalidad de sus reservas colaterales intactas.
A las 18:33 UTC, la compañía emitió un mensaje de mitigación garantizando que la totalidad de los usuarios que sufrieron pérdidas de saldo recibirán una compensación económica integral. La administración declaró que cubrirá las pérdidas reportadas con fondos corporativos para evitar desbalances en las posiciones de mercado abiertas.
Aproximadamente una hora después de decretar la pausa técnica, el monitor de estado de Polymarket marcó el evento como resuelto a las 19:05 UTC. Tras verificar la estabilidad de los retransmisores (relayers) y purgar la caché de frontend comprometida, el libro de órdenes reanudó la actividad habitual de colocación y liquidación de contratos de predicción.
De acuerdo con datos de plataformas de auditoría Web3, los ataques a la cadena de suministro de frontend se presentan como un desafío técnico frecuente para aplicaciones descentralizadas que combinan contratos autónomos con servicios convencionales de Web2.
El protocolo indicó que publicará una auditoría técnica posterior (post-mortem) en coordinación con las firmas de seguridad y las autoridades policiales asignadas una vez concluyan las pericias forenses.
