Polymarket frena operaciones por un script de un proveedor que vació cuentas

Polymarket, la plataforma de mercados de predicción con apuestas en cripto, pasó su sitio internacional a modo de solo cancelación el 29 de octubre, después de que un script de un proveedor externo empezara a vender posiciones y a sacar fondos de las cuentas de sus usuarios. El código salía de DebugBear, un servicio de medición de rendimiento web que Polymarket tenía incrustado en su sitio, según el análisis de la firma Hudson Rock y de BleepingComputer.

Lo robado ronda entre 2 y 2,7 millones de dólares según quién cuente, y Polymarket no dio una cifra propia. "Vamos a reparar esto y estamos reembolsando por completo a todos los traders afectados", escribió la empresa.

Poco más de una hora entre el ataque y la reapertura

Entre las 17:50 y las 17:56 en tiempo universal coordinado (UTC), que son las 14:50 en Buenos Aires y São Paulo, las 12:50 en Bogotá y Lima y las 11:50 en Ciudad de México, una billetera vinculada al atacante hizo decenas de operaciones con el contrato de los tokensUnidad mínima de texto que procesa un modelo de lenguaje, como una palabra, parte de una palabra o un signo. Se usa para medir cuánto lee y escribe un modelo y para cobrar su uso. de predicción de Polymarket, según la reconstrucción de BleepingComputer. A las 17:59 UTC, el código del sitio en producción registró que el script de DebugBear había sido quitado.

A las 18:05 UTC Polymarket frenó las operaciones nuevas y dejó solo la cancelación de órdenes. A las 18:37 UTC dijo que el problema estaba resuelto y mantuvo el freno por precaución, y a las 19:05 UTC (16:05 en Buenos Aires, 14:05 en Bogotá, 13:05 en Ciudad de México) dio el incidente por cerrado y reanudó las operaciones.

"Uno de nuestros proveedores externos fue comprometido y derivamos el caso a las fuerzas de seguridad pertinentes", informó Polymarket, que no nombró al proveedor ni dijo cuántos usuarios fueron afectados, según CoinDesk. El daño alcanzó a quienes tenían saldo en la plataforma internacional.

Un script de medición convertido en ladrón

DebugBear ofrece un fragmento de código que los sitios insertan para medir cuánto tardan sus páginas en cargar para los visitantes reales. Ese fragmento, servido desde la propia infraestructura de DebugBear, llegó a los usuarios de Polymarket con código malicioso agregado, según BleepingComputer. El script detectaba si el visitante tenía la sesión iniciada en Polymarket y usaba esa misma sesión para operar en su nombre, sin pedirle ninguna firma nueva.

Según el análisis, el código calculaba el valor de lo que tenía cada usuario y, según cómo se hubiera identificado, vendía sus posiciones o transfería sus tokens de predicción a la billetera del atacante. Después mandaba a un subdominio de DebugBear los datos de las cuentas atacadas, los saldos y el resultado de cada operación. Hudson Rock aclaró que todavía no estableció cómo empezó el compromiso ni cuántos usuarios cayeron, según Decrypt.

DebugBear informó que investiga un incidente de seguridad en curso y pidió a sus clientes que quiten su código de medición de usuarios reales de sus sitios.

Las cifras no coinciden

BleepingComputer siguió la billetera del atacante y encontró que transfirió unos 28,6 millones de POL, la moneda de la red Polygon, por unos 2,57 millones de dólares, a otras tres billeteras. Hudson Rock vio en esa billetera unos 2,19 millones al momento de su análisis. Con datos de Arkham, Decrypt habló de unos 2,65 millones en POL, y CoinDesk citó una estimación de DeFi Llama de unos 2,7 millones. TechCrunch tomó de investigadores una cifra de alrededor de 2 millones.

Es el tercer incidente del año para Polymarket. En mayo perdió unos 700.000 dólares de una billetera interna por una clave privada comprometida, y en junio otro proveedor externo comprometido permitió inyectar código en su sitio y robar unos 3 millones de menos de 15 cuentas, según Decrypt. Aquella vez también prometió reembolsar todo.

El mismo día Binance suspendió los retiros por una salida de miles de millones de dólares de sus billeteras. Ninguna de las fuentes consultadas vincula los dos casos.

Bloqueada en varios países de la región

Polymarket no está habilitada en buena parte de Latinoamérica. Una jueza de Buenos Aires ordenó en marzo bloquearla en toda Argentina y pidió a Google y Apple retirar sus aplicaciones, a partir de una denuncia del regulador de juegos de azar de la Ciudad de Buenos Aires, según The Block. Brasil bloqueó en abril el acceso a al menos 27 plataformas de mercados de predicción, y en Colombia el acceso está bloqueado oficialmente, aunque Coljuegos, el regulador de juegos de azar del país, reconoce que las restricciones técnicas tienen límites, según Bloomberg Línea. México no tiene un bloqueo.

Para los sitios de la región, el caso deja una lección que va más allá de las apuestas. Cada script de un tercero que se inserta en una página corre con los mismos permisos que el sitio y ve lo mismo que el usuario.