Usuarios de Polymarket pierden unos 2,71 millones de dólares en un ataque mediante un script de terceros

Los usuarios de Polymarket perdieron aproximadamente 2,71 millones de dólares en un ataque del 29 de octubre que implicó un script web de terceros comprometido, según la empresa de seguridad GoPlus.

Su análisis de blockchain identificó 710 billeteras de depósito y 731 direcciones en la ruta principal del ataque. GoPlus advirtió de que esas cifras de direcciones no determinan el número de usuarios individuales afectados. Polymarket ha prometido reembolsar a los participantes afectados, pero no ha publicado una evaluación definitiva de las pérdidas. 

El código malicioso buscaba sesiones de negociación activas

Investigadores de Hudson Rock identificaron código diseñado para vaciar billeteras en un script distribuido mediante infraestructura de DebugBear, un proveedor británico de monitorización del rendimiento de sitios web.

El script buscaba sesiones activas de Polymarket, examinaba las carteras de los usuarios e intentaba desviar activos. Dependiendo del tipo de cuenta, su código buscaba transferir directamente los tokens de posición o vender las posiciones antes de transferir los saldos disponibles.

Los hallazgos de Hudson Rock se basaron en el examen del código recuperado. Los investigadores no lo ejecutaron con una billetera conectada y subrayaron que la presencia de una solicitud de transacción o firma no demostraba que todas las acciones intentadas hubieran tenido éxito. 

Las operaciones se reanudaron tras aproximadamente una hora

Polymarket limitó inicialmente su plataforma a la cancelación de órdenes y suspendió las funciones de retransmisión de transacciones mientras investigaba. Las operaciones se reanudaron aproximadamente una hora después de la suspensión inicial.

La plataforma afirmó que había identificado y corregido el problema relacionado con el proveedor y que había remitido el incidente a las autoridades policiales británicas. Por su parte, DebugBear reconoció un incidente de seguridad e indicó a los clientes de su producto Real User Monitoring que retiraran el código integrado de sus sitios web. 

Hudson Rock también encontró registros de compilaciones de producción que documentaban la retirada de la integración de DebugBear por parte de Polymarket. Su investigación no determinó el mecanismo de la intrusión inicial ni demostró que otros clientes de DebugBear se hubieran visto afectados. 

Los reembolsos mayores exigirían una renuncia de derechos

Según CNBC, Polymarket comunicó posteriormente a los usuarios en Discord que quienes hubieran perdido menos de 10.000 dólares recuperarían sus fondos a más tardar el 30 de octubre.

Según la información publicada, los usuarios con pérdidas superiores a ese umbral debían firmar un documento de renuncia de derechos antes de recibir el reembolso. El informe no aclaró cómo se tratarían las pérdidas de exactamente 10.000 dólares ni detalló todas las condiciones del documento. 

El calendario de reembolsos refleja el compromiso declarado por la plataforma. No confirma que todos los usuarios afectados hayan recibido ya su dinero.