Los problemas de seguridad de Polymarket podrían estar lejos de terminar

Polymarket reanudó la negociación en su intercambio internacional el 29 de octubre de 2026, tras verse obligado a cerrar temporalmente debido a un script de monitorización comprometido. La bolsa detuvo las órdenes, suspendió las actividades de los relayers y prometió a los clientes la devolución de sus fondos. La plataforma estadounidense independiente no resultó afectada.

Un script de monitorización que accedía a las sesiones de negociación en vivo

Hudson Rock descubrió una carga maliciosa de 15.187 bytes en el script de Monitorización del Usuario Real de DebugBear. Este fue capaz de acceder a la información de las cuentas guardadas, obtener detalles sobre los clientes autorizados de los traders e intentar vender posiciones así como transferir tokens.

El código del sitio web de Polymarket también mostraba que el script de DebugBear había sido eliminado. El ataque parece haber explotado el código que se ejecuta en el sitio web, en lugar de una vulnerabilidad en sus contratos inteligentes.

Modo solo cancelar, luego una solución a las 3 p. m. ET

El 29 de octubre de 2026, Polymarket puso al intercambio internacional en modo solo cancelación. Su cuenta de estado indicó que un proveedor había sido comprometido y que el caso había sido remitido a las autoridades policiales del Reino Unido.

El 29 de octubre de 2026, alrededor de las 3 p. m. ET, el comercio se reanudó en Polymarket. La compañía anunció su política de reembolsos. Según el informe de CNBC, se espera que los clientes que perdieron menos de $10.000 reciban sus reembolsos para el 30 de octubre de 2026. En cambio, los clientes de la compañía que perdieron más de esa cantidad deben firmar primero un formulario de exoneración. Aunque la compañía comunicó sus planes de reembolso, no confirma que se hayan emitido reembolsos.

DebugBear indicó a los clientes que retiraran su código

DebugBear también reconoció un problema de seguridad. El 29 de octubre de 2026, la empresa instó a los clientes a eliminar su código de monitoreo mientras los especialistas investigaban.

Estamos afectados por un incidente de seguridad en curso. Si utiliza nuestro producto RUM, elimine el código de inserción de su sitio web.

— DebugBear (@DebugBear) 29 de octubre de 2026

La advertencia destacaba una preocupación más amplia. Los scripts de terceros pueden ejecutarse dentro de sitios web legítimos. Si se ven comprometidos, podrían acceder a las sesiones activas del navegador de los usuarios.

Estimaciones preliminares de pérdidas frente a pérdidas confirmadas

Por ahora, el daño financiero sigue sin estar claro. Betting Intelligence y Polysights rastrearon al menos $2,7 millones en retiros que involucraban a 710 billeteras digitales el 29 de octubre de 2026, según lo reportado por CNBC.

Mientras tanto, Hudson Rock identificó aproximadamente $2,19 millones en una dirección de destinatario alternativo. Sin embargo, ese saldo no establece cuánto fue robado. Polymarket aún no ha confirmado las pérdidas totales.

Dos fallos anteriores de proveedores, sin causa compartida

Este no fue el primer problema de seguridad de Polymarket relacionado con proveedores. En junio de 2026, Halborn y TechCrunch informaron sobre un ataque mediante scripts maliciosos. Según se informa, drenó alrededor de $3 millones de al menos 10 billeteras. Polymarket prometió reembolsos en ese momento también.

Anteriormente, en diciembre de 2025, una brecha de seguridad en un proveedor de autenticación afectó las cuentas de los usuarios. Tanto Cryptopolitan como CertiK documentaron el incidente.

Los tres casos involucraron proveedores externos. Sin embargo, no hay evidencia que los vincule al mismo atacante o causa subyacente.

Lo que significa la exposición repetida a proveedores para un sector de $78 mil millones

Estos incidentes repetidos ocurren mientras los mercados de predicción atraen más actividad comercial. Un informe derivado de Artemis registró $76.46 mil millones en volumen de operaciones en los mercados rastreados en septiembre de 2026. Polymarket representó $13.12 mil millones. Estas cifras representan actividad comercial, no activos mantenidos.

Ese crecimiento pone aún más de relieve las preocupaciones de seguridad. CertiK advierte que las plataformas que combinan servicios web tradicionales con tecnología blockchain pueden seguir teniendo vulnerabilidades centralizadas.

Tales riesgos también podrían desalentar a los inversores institucionales. Según Jefferies, los fondos de cobertura están mostrando interés pero permanecen cautelosos. La liquidez, el cumplimiento normativo y las preocupaciones reputacionales continúan frenándolos.

Mientras tanto, KPMG destaca las distintas responsabilidades de proveedores, corredores, bolsas y cámaras compensadoras. Las bolsas reguladas en EE. UU. deben cumplir requisitos de vigilancia, salvaguardia del sistema y protección de participantes. Sin embargo, esas normas no se aplican automáticamente a Polymarket International.

Para Polymarket, restaurar el comercio es solo parte del desafío. La prueba más grande es si puede gestionar los riesgos de proveedores externos y recuperar la confianza de los usuarios.