Hackers vacían 2,73 millones de dólares de 737 cuentas de Polymarket en una hora

Claves: - Los atacantes vaciaron 737 cuentas de Polymarket por 2,73 millones de dólares - Utilizaron aprobaciones de wallet válidas: no hubo fallo en los contratos inteligentes - Polymarket anunció 3,9 millones de dólares en reembolsos e indemnizaciones Un ataque coordinado contra Polymarket vació cerca de 2,73 millones de dólares de 737 cuentas de usuarios en el plazo de una hora el 29 de octubre, según una investigación de blockchain que rastreó casi un millar de retiradas no autorizadas a través de la propia infraestructura del mercado de predicciones. El análisis de Bitquery concluye que los atacantes ejecutaron 985 retiradas entre las 17:10 y las 18:10 UTC y que se apoyaron en aprobaciones de wallet válidas, sin explotar ninguna vulnerabilidad de los contratos inteligentes. Los fondos se convirtieron al token POL de Polygon y se repartieron entre varias wallets antes de que una parte se dirigiera a Ethereum. Cómo se vaciaron las cuentas Bitquery identificó una secuencia de retiradas automatizadas canalizadas a través del relay oficial de transacciones de Polymarket, el sistema que envía operaciones autorizadas por el usuario sin que el operador tenga que pagar directamente las comisiones de red. Para las smart wallets subyacentes, las aprobaciones parecían legítimas. En una muestra de 30 retiradas, los investigadores comprobaron que las transacciones se ejecutaron entre tres y siete segundos después de generarse las aprobaciones, un patrón propio de la actividad automatizada. La mayor pérdida individual rondó los 358.000 dólares. Cuatro cuentas concentraron el 43% del total robado; otras 276 perdieron menos de 100 dólares cada una. El ataque guarda parecido con la brecha de seguridad de junio, que dejó unas pérdidas de 2,94 millones de dólares en al menos 11 wallets y que también tuvo su origen en código malicioso introducido a través de una dependencia de terceros comprometida. Polymarket ya había sufrido antes intrusiones en cuentas vinculadas a un proveedor externo de autenticación, una muestra de cómo los servicios conectados a una plataforma pueden convertirse en objetivo aunque sus contratos en la blockchain sigan intactos. Rastreo de los fondos entre Polygon y Ethereum Los investigadores localizaron una dirección controlada por el atacante que recibió unos 28,64 millones de POL antes de repartirlos entre tres wallets de nueva creación. Parte de los fondos pasó después a Ethereum a través de Relay, deBridge y el puente nativo de Polygon. En el momento del corte de la investigación, a las 19:49 UTC, quedaban cerca de 2,17 millones de dólares en tres wallets de Polygon y otra wallet de Ethereum identificada acumulaba 126,10 ETH. El atacante también transfirió posiciones del mercado de predicciones desde 33 cuentas y abrió una cuenta nueva en Polymarket para vender parte de las acciones robadas. Un hallazgo llamativo afecta a la respuesta de la compañía. Bitquery detectó otra retirada de 10,99 dólares a las 19:11 UTC, unos 38 minutos después de que la empresa afirmara haber resuelto el problema. La operación no demuestra que la vulnerabilidad siguiera siendo explotable de forma general, pero deja dudas sobre la cronología de la remediación. Polymarket anuncia 3,9 millones en reembolsos El informe oficial de Polymarket confirma que un atacante sustituyó el script de una web de terceros por código malicioso dirigido a los usuarios que tenían la plataforma abierta. La empresa retiró el script, limpió cachés, reinició las sesiones activas y suspendió temporalmente la negociación. Después informó de que el 95% de las wallets afectadas habían recibido el reembolso completo y de que las compensaciones totales alcanzarían 3,9 millones de dólares. El incidente añade un nuevo frente de preocupación en un sector, el de los mercados de predicción, ya sometido a escrutinio por la integridad de sus mercados y por el tratamiento de información sensible de negociación. También deja una advertencia para las aplicaciones financieras descentralizadas: aunque los contratos funcionen correctamente, un software externo comprometido puede seguir autorizando transacciones dañinas.