La plataforma de mercados predictivos Polymarket ha confirmado un incidente de seguridad que comprometió a sus usuarios, resultando en pérdidas estimadas en 3 millones de dólares. El ataque, ocurrido el 25 de junio, apuntó a la cadena de suministro de la empresa, afectando a un proveedor externo. El equipo de Polymarket aseguró haber contenido el problema y prometió reembolsar completamente a los afectados, aunque no detalló el mecanismo ni el plazo para hacerlo.
Detalles del ataque
Según informó el equipo en su cuenta de X, el ataque se originó cuando un proveedor externo fue comprometido, lo que permitió la inyección de un script malicioso en el frontend de la plataforma para algunos usuarios. Este tipo de ataque a la cadena de suministro se produce cuando el punto de entrada no es el sistema principal, sino un componente o servicio externo que este utiliza. En este caso, el código malicioso se insertó en la interfaz visual que los usuarios ven en su navegador, sin afectar los contratos inteligentes del protocolo. Los fondos robados estaban denominados en PUSD, la stablecoin propia de Polymarket.
Rastreo de los fondos
El investigador on-chain conocido como Specter informó que el atacante drenó fondos de más de 11 billeteras y los consolidó en una dirección de Ethereum. La firma de seguridad PeckShield confirmó que los activos fueron transferidos desde la red Polygon a Ethereum, donde se convirtieron en aproximadamente 1.893 ETH. Specter estimó las pérdidas en 2,94 millones de dólares e identificó la dirección principal del atacante (0xe65b1C586757c5510B60F998Eebb14C1eF71E1eD), junto con tres direcciones adicionales. GoPlus Security elevó el número de cuentas afectadas a alrededor de 15.
Antecedentes recientes
Este es el segundo incidente de seguridad que afecta a Polymarket en poco más de un mes. El 22 de mayo, la plataforma sufrió un hackeo por más de 600.000 dólares, cuyo vector fue la filtración de la clave privada de una billetera utilizada para operaciones internas. En aquella ocasión, los contratos inteligentes y los fondos de los usuarios no se vieron afectados. Sin embargo, en este nuevo ataque, el dinero de los usuarios fue el objetivo directo, lo que subraya la vulnerabilidad de las plataformas descentralizadas a ataques en la cadena de suministro.
Conclusión
El ataque a Polymarket resalta la importancia de la seguridad en la cadena de suministro para las plataformas descentralizadas. Aunque el equipo ha prometido reembolsos, la falta de detalles sobre el cronograma genera incertidumbre. Los usuarios deben permanecer atentos y considerar medidas adicionales de seguridad mientras la plataforma trabaja para restaurar la confianza.