Polymarket sufre robo de $2.9 millones por ataque a proveedor externo; usuarios serán reembolsados

Polymarket, la plataforma de predicciones basada en blockchain, informó el jueves de un ataque a un proveedor externo que permitió a atacantes inyectar un script malicioso en su interfaz, resultando en el robo de aproximadamente $2.94 millones de al menos 11 billeteras de usuarios. La empresa confirmó que el ataque ha sido contenido, el componente vulnerado eliminado, y que todos los usuarios afectados recibirán un reembolso completo del dinero sustraído. Este incidente es el número 89 de seguridad reportado en el segundo trimestre, según datos de DefiLlama, un período que ya se perfila como el más atacado de la historia.

Así ocurrió el ataque a Polymarket

Un script malicioso y un proveedor comprometido

El ataque se produjo cuando un proveedor externo fue comprometido, permitiendo a los atacantes inyectar un script en el frontend de Polymarket. Según el analista de blockchain Specter, el script facilitaba un ataque de phishing. El total drenado de las billeteras de los usuarios asciende a $2.94 millones, y al menos 11 billeteras fueron vaciadas.

La respuesta de la plataforma

Polymarket anunció en su cuenta de X que el compromiso ya ha sido contenido y la dependencia afectada, eliminada. La empresa declaró explícitamente que todos los usuarios afectados serán reembolsados completamente. Cointelegraph contactó a Polymarket para obtener comentarios adicionales, pero no recibió respuesta antes de la publicación del informe original.

Contexto: Un exploit anterior en Polymarket

Aproximadamente un mes antes de este ataque, Polymarket reveló un exploit separado de $600,000. Ese incidente se rastreó hasta una clave privada de seis años de antigüedad, utilizada para operaciones internas de recarga. Josh Stevens, vicepresidente de ingeniería de Polymarket, aseguró en ese momento que los contratos de la plataforma y los fondos de los usuarios seguían seguros, y que todos los permisos vinculados a esa clave habían sido revocados.

Pérdidas por exploits cripto se disparan en junio

Cifras globales del mes

Las pérdidas por exploits cripto alcanzaron un total de $74.9 millones en 29 incidentes reportados durante el mes de junio, según datos de DefiLlama. Esta cifra supera los $60.5 millones registrados en mayo, aunque se mantiene muy por debajo de los $644 millones de abril, que fue el mes con mayores pérdidas en el período.

Los mayores exploits de junio

El mayor incidente del mes fue el exploit contra Humanity Protocol, por $36 millones. Otros ataques destacados incluyen el exploit del puente de Secret Network ($4.7 millones), dos exploits separados contra Aztec ($2.1 millones cada uno) y el exploit de un puente en Taiko ($1.7 millones).

Vectores de ataque principales en los últimos 30 días

Según DefiLlama, los compromisos de clave privada representaron el 43% de las pérdidas reportadas, siendo el vector de ataque líder. Otros vectores incluyen exploits de pruebas falsas (10%) y «honeypots» de MEV inverso (8%), que presentan oportunidades comerciales engañosas para atraer y manipular bots de trading automatizados.

Polymarket y el ecosistema cripto en cifras

El crecimiento de Polymarket

A pesar de los incidentes de seguridad, Polymarket ha experimentado un crecimiento significativo. La plataforma posee actualmente más de $450 millones en valor total bloqueado (TVL), lo que representa un aumento del 301% en comparación con los $112 millones que poseía hace un año, según datos de DefiLlama.

Un trimestre récord en ataques

El ataque a Polymarket fue el incidente número 89 reportado en el segundo trimestre del año. Según datos de DefiLlama, esto extiende el trimestre con mayor número de incidentes de seguridad en la historia del sector cripto, medido por conteo de incidentes.

El sector continúa enfrentando desafíos de seguridad, con los compromisos de claves privadas como la principal amenaza, mientras que plataformas como Polymarket ven un crecimiento explosivo en su uso a pesar de los incidentes.