El 29 de octubre de 2026, unos atacantes vaciaron cerca de 2,7 millones de dólares de cientos de cuentas en Polymarket.com, la versión internacional, basada en criptomonedas, del mercado de predicciones, según Casino.org y GamblingNews.com. La firma de análisis de blockchain Bubblemaps estimó que unos 700 usuarios resultaron afectados. Polymarket US no fue el objetivo.
Ninguna de las víctimas tuvo que hacer clic en un enlace de phishing ni filtrar credenciales para perder dinero.
Según investigadores de seguridad citados por ambos medios, los atacantes modificaron código JavaScript alojado en la infraestructura de DebugBear, un proveedor de monitorización del rendimiento web. Como ese script se ejecutaba dentro del sitio legítimo de Polymarket, podía acceder directamente a las sesiones de los traders que tenían la cuenta abierta. DebugBear ha reconocido un incidente de seguridad y ha pedido a los clientes de su producto Real User Monitoring (RUM) que eliminen el fragmento incrustado de sus sitios web.
Casino.org aporta detalles que GamblingNews no recoge. Según Casino.org, el código malicioso analizaba saldos activos y posiciones abiertas, liquidaba las tenencias y enviaba los activos a una cartera controlada por los atacantes a través de tres direcciones; el script modificado fue identificado por Hudson Rock.
Las cifras difieren según la fuente. BleepingComputer rastreó desde una cartera del atacante transacciones por unos 2,57 millones de dólares en POL, el token de Polygon. Bitquery, citada solo por GamblingNews, situó las cifras en 737 usuarios y 2,73 millones de dólares.
Si se dividen los totales publicados, sale un promedio aproximado. 2,7 millones de dólares entre unas 700 cuentas equivalen a unos 3900 dólares por usuario afectado, y con los datos de Bitquery salen unos 3700. Un promedio, sin embargo, no dice nada de la dispersión: unas pocas cuentas grandes podrían concentrar la mayor parte de las pérdidas, y ninguna fuente ha publicado la distribución. Ese vacío importa por las condiciones de reembolso que describe Casino.org.
Según Casino.org, los traders que perdieron más de 10 000 dólares deberían firmar un acuerdo de renuncia a reclamaciones antes de recibir el reembolso y, según CNBC, a quienes perdieron menos se les devolverían los fondos antes del viernes 30 de octubre. Mientras Polymarket no revele qué parte de la pérdida está en cuentas por encima de ese umbral, no se puede saber qué proporción de lo robado se habría repuesto el viernes.
Polymarket no ha confirmado ni el número de víctimas ni el importe robado.
La empresa reconoció el ataque, se comprometió a reembolsar a los clientes afectados y puso el caso en manos de las fuerzas del orden. GamblingNews informa de que la denuncia se presentó concretamente ante las autoridades del Reino Unido. La negociación estuvo detenida cerca de una hora antes de que se reanudara la actividad normal; según Casino.org, que cita la página de estado de la plataforma, Polymarket puso el exchange en modo de solo cancelación a las 14:05 ET del jueves, y la negociación normal volvió a las 15:05.
Según Casino.org, es la segunda brecha grave en la cadena de suministro de Polymarket en cuatro meses, después del compromiso de un proveedor en junio de 2026 que, según se informa, vació unos 3 millones de dólares de carteras de usuarios.
En un asunto aparte, ajeno al hackeo, GamblingNews informa de que la Junta de Control de Juego de Míchigan (Michigan Gaming Control Board) ha ordenado a Polymarket abandonar el mercado de Míchigan antes del 25 de noviembre de 2026.
Elaborado con IA a partir de fuentes independientes y publicado automáticamente, sin revisión editorial previa. Cómo usamos la IA