Cerca de 700 usuarios de Polymarket habrían resultado afectados por un ataque informático que permitió a los responsables sustraer entre US$2,6 millones y US$2,7 millones en criptomonedas. El incidente, ocurrido el jueves 29 de octubre de 2026, llevó a la plataforma de mercados de predicción a suspender temporalmente las operaciones.
La vulneración no se produjo en la página principal ni en los contratos inteligentes de Polymarket. Los atacantes comprometieron a DebugBear, un proveedor externo que la compañía utilizaba para medir y optimizar la velocidad de carga de su interfaz web. El caso corresponde a un ataque a la cadena de suministro: en lugar de ingresar directamente a la infraestructura de la plataforma, los responsables intervinieron una herramienta vinculada con su funcionamiento.
Tras modificar el código de ese servicio, introdujeron un script malicioso que se ejecutaba en los navegadores de las personas que tenían sesiones activas. El programa aprovechó los permisos y las aprobaciones disponibles para vender posiciones de los usuarios en los mercados de predicción y enviar los fondos a billeteras bajo control de los atacantes.
Los análisis de firmas de ciberinteligencia en la blockchain, entre ellas Arkham y Hudson Rock, situaron el monto sustraído entre 2,6 y 2,7 millones de dólares. Las investigaciones identificaron decenas de transferencias dirigidas a tres billeteras asociadas con los responsables del ataque, que acumularon cerca de 28,6 millones de tokens POL.
Las estimaciones sobre el número de afectados oscilan entre unas 700 y casi 1.000 cuentas. Se trata de usuarios que interactuaron con el sitio mientras el código comprometido permaneció activo.
Para contener el incidente, Polymarket detuvo la apertura de nuevas operaciones y habilitó durante casi una hora un modo que permitía únicamente cancelar transacciones. La medida buscaba frenar la salida de fondos mientras se atendía la vulnerabilidad.
La compañía confirmó el ataque mediante un comunicado y aseguró que devolverá la totalidad del dinero sustraído a las personas afectadas. Una vez retirada la dependencia externa comprometida, la plataforma reanudó por completo el comercio y remitió el caso a las autoridades de ciberseguridad correspondientes.
El incidente tiene un antecedente en junio de 2026, cuando Polymarket sufrió un ataque de características similares. En aquella ocasión también fue comprometido un proveedor externo relacionado con la interfaz de la plataforma y se sustrajeron cerca de 3 millones de dólares de un grupo reducido de cuentas. La compañía también se comprometió entonces a reembolsar los fondos.
