Polymarket confirmó el viernes que un proveedor externo comprometido permitió a los atacantes inyectar código malicioso en su frontend, drenando alrededor de $3 millones de menos de 15 cuentas de usuario.
La plataforma dice que reembolsará completamente a todos los usuarios afectados.
Qué Sucedió
El ataque fue señalado por primera vez por el investigador de seguridad en cadena Specter, quien publicó que una aparente campaña de phishing había drenado fondos de más de 11 billeteras víctimas que contenían el stablecoin PUSD de Polymarket.
En ese momento, estimaron las pérdidas en $2.94 millones, con PeckShield confirmando la cifra poco después y señalando que el atacante había transferido los fondos robados de Polygon a Ethereum y los había convertido en 1,893 ETH.
El mercado de predicciones reconoció la violación a través de una de sus cuentas oficiales, Polymarket Traders.
“Esta mañana descubrimos que un proveedor externo había sido comprometido, inyectando un script malicioso en nuestro frontend para algunos usuarios. Lo hemos contenido y eliminado la dependencia afectada,” escribió en X. “Estamos contactando a los usuarios afectados y reembolsándolos en su totalidad.”
William LeGate, quien trabaja estrechamente con la plataforma, reiteró las noticias sobre la compensación, repitiendo que el problema había sido resuelto y que los usuarios afectados recuperarían su dinero en su totalidad.
Otra cuenta de seguridad de blockchain, GoPlus Security, describió el incidente como un ataque a la cadena de suministro. Dijo que el código malicioso afectó a aproximadamente 15 cuentas, con pérdidas totales de $3 millones, una conclusión que también alcanzó Bubblemaps, que elogió la respuesta de Polymarket después de que se contuvieron las pérdidas.
Un Problema Recurrente
No es la primera vez que Polymarket es golpeado. El mes pasado, la plataforma divulgó otra violación en la que una billetera de administrador utilizada para recargas de recompensas a empleados fue drenada de aproximadamente $700,000, probablemente a través de un compromiso de clave privada. Al principio, el investigador de criptomonedas ZachXBT había estimado las pérdidas en alrededor de $520,000, con Bubblemaps citando más tarde la cifra más alta después de rastrear los fondos a través de varias direcciones.
El desarrollador Josh Stevens confirmó en ese momento que una clave privada de 6 años había sido expuesta a través de una configuración interna y que la empresa desde entonces había rotado credenciales y se había trasladado a servicios de gestión de claves. Sin embargo, ese incidente no afectó los fondos de los usuarios ni los contratos principales.
Si bien los dos incidentes involucraron diferentes métodos de ataque, ambos apuntaron a sistemas fuera de los propios mercados de predicción de Polymarket. Además, el más reciente ha llegado en un momento en que la plataforma ya está navegando otros vientos en contra reputacionales, incluyendo un informe reciente del Wall Street Journal, que afirmaba que había pagado a creadores de contenido en edad universitaria entre $2,000 y $3,000 por mes para publicar videos de apuestas simuladas en versiones de prueba del sitio web de Polymarket, sin que siquiera uno de los más de 1,100 clips sea rastreable a una actividad real en la blockchain.
También hubo otra controversia a principios de este mes cuando un trader afirmó que había perdido $500,000 después de que el servicio de predicción supuestamente cambiara las reglas de resolución para un mercado vinculado a la venta de Bitcoin de Strategy.
Fuente: CryptoPotato
