Polymarket impone un bloqueo de retiro de 48 horas tras una brecha de script de proveedor por $2.7M
- Polymarket ha añadido la habilitación de direcciones de retiro, con verificación por correo electrónico y un bloqueo temporal de 48 horas.
- La función se añadió después de que un script comprometido de DebugBear drenara aproximadamente 2,7 millones de dólares de 737 cuentas el 29 de octubre.
- La función protege a los traders bloqueando los pagos a billeteras no aprobadas incluso dentro de una sesión secuestrada.
Polymarket ha añadido una nueva configuración que solo permite a los traders enviar retiros a billeteras previamente aprobadas.
La función llega unas dos semanas después de que un script pirateado drenara alrededor de 2,7 millones de dólares de las cuentas de usuario.
¿Qué hace el nuevo bloqueo de retiro de Polymarket?
Josh Stevens, vicepresidente de ingeniería de Polymarket, anunció el lunes que Polymarket añadiría una nueva función que solo permitirá a los traders enviar retiros a billeteras previamente aprobadas. El anuncio se realizó en una publicación en X desde la cuenta @devjoshstevens.
Agregar una nueva dirección de billetera a una cuenta de usuario solo requiere dos pasos. El trader debe confirmar la solicitud por correo electrónico y luego esperar 48 horas. Si el trader no inició la solicitud, puede cancelarla directamente desde ese correo.
Con esta medida en vigor, los atacantes ya no podrán enviar dinero a una nueva billetera sin pasar la verificación por correo electrónico y esperar los dos días requeridos. Stevens dijo que el objetivo es asegurarse de que los atacantes no puedan enviar dinero a ninguna dirección que el usuario no controle.
Sin embargo, el bloqueo no soluciona el problema raíz de la brecha de seguridad que Polymarket sufrió hace apenas dos semanas. Este hackeo provocó que se drenaran aproximadamente 2,7 millones de dólares de las cuentas de los usuarios. Se llevó a cabo mediante un script de terceros ejecutado dentro del sitio de Polymarket con acceso a sesiones activas.
Polymarket enfrentó este tipo de problema a principios de este año, en junio, cuando sufrió un ataque mediante un script de un proveedor que resultó en el drenaje de unos 3 millones de dólares de al menos 11 billeteras, según informes anteriores de Cryptopolitan. Una brecha de seguridad en diciembre de 2025 en un proveedor de autenticación también afectó a las cuentas de los usuarios.
Cada uno de estos casos involucró a un proveedor externo, pero nada los vincula a un único atacante.
¿Cómo ocurrió el hackeo a Polymarket y qué sigue?
El 29 de octubre, Polymarket detuvo las operaciones comerciales en su plataforma internacional después de que los atacantes tomaran el control de un script de DebugBear, una empresa del Reino Unido que monitorea la velocidad de los sitios web. El script fue reemplazado por código diseñado para vaciar las billeteras.
Los investigadores de Hudson Rock descubrieron que el código verificaba si un visitante había iniciado sesión en Polymarket. Luego, leía sus saldos y posiciones abiertas. Finalmente, utilizaba las propias herramientas de trading del sitio para vender posiciones y enviar el dinero a la billetera de un atacante.
Hudson Rock también descubrió que el código del sitio de Polymarket registró la eliminación del script. Polymarket indicó que remitió el caso a las autoridades policiales.
Bitquery informó que los atacantes robaron 2,73 millones de dólares de 737 cuentas en aproximadamente una hora, entre las 17:10 y las 18:10 UTC. Realizaron 985 retiros, y cada uno contaba con una aprobación válida. Por lo tanto, los contratos inteligentes los trataron como acciones reales de usuarios.
Una cuenta perdió 358.369 dólares en un solo retiro, mientras que 276 cuentas perdieron menos de 100 dólares cada una. Otros 33 usuarios también tuvieron partes de mercados predictivos sustraídas.
Polymarket declaró que indemnizará a todos sus usuarios, pero se reembolsará primero a quienes perdieron menos de 10.000 dólares.
Binance y Polymarket también han pedido a los validadores de Polygon aprobar un hard fork. Un hard fork es un cambio en el software de la red que todos los validadores deben adoptar. Este movería aproximadamente 70,49 millones de tokens POL congelados, valorados en unos 6,5 millones de dólares, fuera de las billeteras del atacante. La propuesta se publicó el 4 de noviembre y se presentó en una llamada de gobernanza de Polygon el 5 de noviembre. Aún están pendientes la votación y la fecha.
Otras empresas también están endureciendo la seguridad. El martes, la firma de seguridad CertiK declaró, tras el hackeo de Binance por 6.300 millones de dólares, que los exchanges deberían establecer límites monetarios estrictos sobre cuánto mantienen en billeteras calientes, en lugar de depender únicamente de las proporciones de almacenamiento en frío.
Las mentes más inteligentes del mundo cripto ya leen nuestro boletín. ¿Quieres unirte? Únete a ellos.
Preguntas frecuentes
¿Qué es la nueva lista permitida de retiros de Polymarket?
Permite a los traders restringir los retiros a billeteras que han preaprobado. Agregar una nueva dirección requiere verificación por correo electrónico y un bloqueo de tiempo de 48 horas, y la solicitud puede cancelarse desde el correo electrónico si el usuario no la inició, según Josh Stevens en X.
¿Cuánto costó a los usuarios la brecha de Polymarket de octubre 29?
Aproximadamente 2,73 millones de dólares en 737 cuentas, retirados mediante 985 retiros autorizados en aproximadamente una hora, según cifras de Bitquery. El retiro individual más grande fue de 358.369 dólares.
¿Cómo robaron los atacantes los fondos?
Un script de monitorización de DebugBear comprometido secuestró las sesiones iniciadas de Polymarket y utilizó las propias herramientas de trading de la plataforma para vender posiciones y transferir activos a una billetera del atacante.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
