Ciberataque a Polymarket en octubre de 2026: riesgos de seguridad de los servicios de terceros para los mercados de predicción
El 29 de octubre de 2026, Polymarket sufrió un ciberataque que puso de manifiesto una importante vulnerabilidad en la seguridad de los mercados de predicción basados en criptomonedas: su dependencia de proveedores externos de software. Los atacantes comprometieron un servicio de terceros dedicado a supervisar el rendimiento de sitios web y utilizaron código malicioso para interferir en sesiones de negociación activas, vender las posiciones de los usuarios y transferir fondos desde sus monederos digitales. El incidente obligó a Polymarket a suspender temporalmente las operaciones y provocó pérdidas directas de aproximadamente 2,7 millones de dólares. El 30 de octubre, la empresa anunció un programa de compensación de 3,9 millones de dólares que cubría los fondos sustraídos y otras pérdidas relacionadas con las operaciones. El ataque demostró cómo un servicio externo aparentemente legítimo puede convertirse en una vía de entrada para el robo de activos, incluso sin que los atacantes comprometan directamente una cadena de bloques ni obtengan las claves privadas de los usuarios.
¿Qué ocurrió durante el ciberataque a Polymarket en octubre de 2026?
El incidente comenzó el 29 de octubre, cuando Polymarket detectó actividad no autorizada relacionada con los monederos de sus clientes en su sitio web internacional, Polymarket.com. Según el informe oficial del incidente publicado por la empresa, la actividad sospechosa se identificó a las 17:38 UTC. Posteriormente, varios usuarios denunciaron cambios inesperados en sus cuentas, como la venta de posiciones y la desaparición de criptomonedas de sus saldos. Los investigadores de seguridad determinaron que el ataque tenía su origen en un proveedor externo de software comprometido, y no en una vulnerabilidad identificada públicamente en los contratos de la cadena de bloques subyacente de Polymarket. Los atacantes habían conseguido controlar un script que el sitio web cargaba habitualmente para supervisar su rendimiento.
Los informes independientes relacionaron el servicio comprometido con DebugBear, una empresa británica especializada en la supervisión del rendimiento de sitios web. Su tecnología de monitorización de usuarios reales permite a los administradores conocer la velocidad de carga de las páginas y analizar la experiencia de navegación de los visitantes. Estas herramientas suelen funcionar mediante pequeños fragmentos de JavaScript incorporados a los sitios web. En este caso, los atacantes sustituyeron el código legítimo de supervisión por instrucciones maliciosas diseñadas específicamente para atacar a los usuarios de Polymarket. Como el código afectado se distribuía a través de una dependencia externa ya integrada en el sitio, los visitantes podían quedar expuestos al utilizar la página auténtica de Polymarket, sin necesidad de acceder a una copia fraudulenta.
Polymarket respondió restringiendo la actividad comercial mientras su equipo de seguridad investigaba la intrusión. A las 18:05 UTC, el mercado pasó a un modo que únicamente permitía cancelar órdenes, impidiendo la apertura de nuevas operaciones, aunque manteniendo la posibilidad de anular determinadas órdenes existentes. También se suspendieron los servicios de retransmisión de transacciones, conocidos como relayers, que facilitan su procesamiento. La empresa comunicó que había identificado y solucionado el problema inmediato antes de anunciar la reanudación de las operaciones habituales. Sus registros de estado indican que la interrupción general de la negociación quedó resuelta a las 19:05 UTC, aproximadamente una hora después de la aplicación de las restricciones. Aunque la suspensión fue relativamente breve, sus consecuencias fueron mucho más allá de la imposibilidad temporal de operar.
Cómo permitió el script comprometido que los atacantes robaran fondos
El ataque constituye un ejemplo de una vulnerabilidad conocida como compromiso de la cadena de suministro de software. En lugar de intentar acceder por separado a cada cuenta de usuario, los delincuentes se dirigieron contra un servicio en el que el propio sitio web confiaba. Cuando Polymarket cargaba el script de supervisión modificado, las instrucciones maliciosas podían ejecutarse en el contexto de una sesión activa del navegador. El ataque resultaba especialmente peligroso para quienes ya habían iniciado sesión cuando aparecía el código comprometido. Sus sesiones autenticadas ofrecían a los atacantes la oportunidad de iniciar acciones que normalmente realizarían los titulares legítimos de las cuentas.
Polymarket explicó que el script malicioso utilizó sesiones activas para vender posiciones en los mercados de predicción y retirar fondos de los monederos afectados. Esta distinción es importante porque el incidente no requirió un robo confirmado de claves privadas ni un compromiso públicamente demostrado del mecanismo de consenso de la cadena de bloques. En su lugar, los atacantes aprovecharon los permisos disponibles a través de la interfaz habitual de negociación del sitio web. Por tanto, un usuario podía perder dinero a pesar de acceder a la página correcta y haber completado previamente el proceso de autenticación esperado. La secuencia técnica exacta y las posibles vulnerabilidades adicionales implicadas continuaron siendo objeto de investigación.
Posteriormente, DebugBear informó de que sus registros del sistema de nombres de dominio habían sido comprometidos a través de su registrador de dominios. Los registros DNS permiten dirigir el tráfico de Internet hacia los servidores correspondientes, y las modificaciones no autorizadas pueden permitir que los atacantes redirijan solicitudes destinadas a recursos legítimos. La empresa señaló que su investigación inicial no había encontrado indicios de una intrusión en sus sistemas internos. También planteó que la actividad parecía estar dirigida específicamente contra uno de sus clientes, aunque esta valoración seguía siendo preliminar. Estos hallazgos muestran cómo un ataque contra la infraestructura que rodea a un proveedor de software puede terminar afectando a los clientes que dependen de sus servicios.
Pérdidas económicas, compensaciones e impacto general en la seguridad
Las consecuencias económicas comenzaron a esclarecerse cuando los analistas de cadenas de bloques y Polymarket examinaron las transacciones afectadas. Los primeros informes identificaron aproximadamente 2,65 millones de dólares en movimientos sospechosos de criptomonedas relacionados con el presunto atacante. Posteriormente, la empresa confirmó pérdidas directas de alrededor de 2,7 millones de dólares correspondientes a monederos comprometidos. Los informes de seguridad publicados después del incidente indicaron que 726 monederos habían resultado afectados. Estas cifras describen un ataque financiero dirigido, y no un fallo generalizado de todas las cuentas de Polymarket, pero también demuestran la rapidez con la que un software malicioso puede provocar daños considerables cuando obtiene acceso a sesiones de negociación activas.
El 30 de octubre, Polymarket publicó una actualización en la que detallaba sus medidas de compensación. La empresa destinó aproximadamente 3,9 millones de dólares a reembolsar a los operadores afectados, incluidos los 2,7 millones vinculados a los fondos robados y otros 1,2 millones correspondientes a pérdidas relacionadas con la interrupción de las operaciones y las ventas forzadas de posiciones. Según su comunicado, el 95 % de los monederos afectados ya había recibido el reembolso íntegro durante aquella tarde. El programa de compensación no se limitó a las retiradas no autorizadas de fondos, porque el incidente también influyó en los precios y en el momento en que se cerraron determinadas posiciones de los clientes.
Los mercados de predicción presentan características financieras que hacen especialmente importantes las interrupciones del servicio. Sus participantes negocian contratos vinculados a los resultados de acontecimientos como elecciones, anuncios económicos, competiciones deportivas y otros sucesos verificables. Los precios de los contratos cambian a medida que aparece nueva información, y algunos mercados se liquidan poco después de que concluya el acontecimiento correspondiente. Por ello, una suspensión temporal de la negociación puede impedir que los usuarios ajusten su exposición en un momento decisivo. Incluso cuando se devuelven los fondos robados, los operadores pueden haber sufrido perjuicios económicos por no poder reaccionar ante cambios en las circunstancias. Esto explica por qué Polymarket incluyó determinadas pérdidas relacionadas con la negociación en sus medidas de compensación.
Por qué las dependencias de terceros generan riesgos para los mercados de predicción
Los servicios modernos relacionados con criptomonedas suelen utilizar herramientas externas para el análisis del tráfico web, la supervisión del rendimiento, la autenticación, la atención al cliente y otras funciones operativas. Estos acuerdos pueden mejorar la fiabilidad y reducir los costes de desarrollo, pero cada dependencia adicional introduce una nueva relación que necesita controles de seguridad. El ataque de octubre demostró que un software dedicado a una función aparentemente inofensiva, como la supervisión del rendimiento, puede convertirse en una amenaza si su código tiene permiso para ejecutarse dentro de un sitio web que gestiona operaciones financieras sensibles. Un atacante no necesita necesariamente acceder a los servidores principales del mercado cuando un script externo comprometido puede interactuar con sesiones de usuario autenticadas.
El incidente también cuestiona la idea de que los servicios financieros basados en cadenas de bloques están automáticamente protegidos frente a cualquier tipo de ciberataque. Los registros de blockchain pueden aportar transparencia y facilitar el seguimiento de transferencias no autorizadas, pero no garantizan que cada transacción se haya iniciado con el consentimiento informado del titular de la cuenta. Un contrato inteligente seguro no puede determinar de forma independiente si una acción realizada desde el navegador procede de un usuario legítimo o de un software malicioso que aprovecha una sesión existente. Por consiguiente, la seguridad de un mercado de predicción depende de varios elementos conectados entre sí, como el sitio web, los permisos de los monederos, los procedimientos de autenticación, los controles de las transacciones y los proveedores de servicios externos.
La brecha de seguridad de Polymarket en octubre fue especialmente significativa porque la empresa ya había sufrido otro incidente relacionado con un proveedor externo en junio de 2026. Aquel ataque anterior también implicó código malicioso introducido a través de un tercero y provocó pérdidas de criptomonedas estimadas en aproximadamente 3 millones de dólares. La repetición de incidentes no demuestra que ambos ataques fueran perpetrados por las mismas personas ni que aprovecharan una vulnerabilidad técnica idéntica. Sin embargo, pone de manifiesto la dificultad de controlar los riesgos asociados al software de proveedores externos. Para los operadores de mercados de predicción, revisar periódicamente la seguridad de sus proveedores no resulta suficiente si esas evaluaciones no van acompañadas de restricciones técnicas que limiten los recursos y las funciones a los que puede acceder el código externo.
Cómo pueden los mercados de predicción reducir el riesgo de ataques similares
Tras el incidente de octubre, Polymarket eliminó el script comprometido y borró las copias almacenadas en caché que podrían haber seguido distribuyendo instrucciones maliciosas. También restableció las sesiones de inicio de sesión activas, obligando a los usuarios a establecer nuevas conexiones autenticadas. Estas medidas abordaron el riesgo inmediato de que las sesiones comprometidas continuaran siendo utilizables después de identificar el código dañino. La empresa también suspendió temporalmente las operaciones y los servicios de retransmisión de transacciones durante la investigación, reduciendo así las posibilidades de que se produjeran nuevos movimientos no autorizados. Estos procedimientos de emergencia son importantes porque eliminar el código malicioso no invalida automáticamente las sesiones o las transacciones que ya se hayan visto afectadas por un ataque.
Polymarket también anunció controles más estrictos para los scripts suministrados por terceros, incluidos ajustes más restrictivos de la política de seguridad de contenidos, la fijación explícita de versiones, el aislamiento de componentes y la verificación continua. Una política de seguridad de contenidos, conocida como Content Security Policy, permite a un sitio web restringir los recursos y scripts que los navegadores pueden cargar o ejecutar. La fijación de versiones ayuda a impedir que se introduzcan automáticamente modificaciones inesperadas del software, mientras que el aislamiento de componentes puede limitar los permisos concedidos a elementos menos fiables. Estas protecciones no son intercambiables y su eficacia depende de cómo se implementen. En conjunto, pueden reducir la probabilidad de que un proveedor comprometido consiga acceso sin restricciones a funciones sensibles del sitio web.
Para otros operadores de mercados de predicción, el incidente ofrece un motivo práctico para reconsiderar dónde se permite ejecutar código de terceros. Las herramientas de supervisión y análisis no deberían recibir automáticamente el mismo nivel de acceso que los componentes responsables de gestionar operaciones o monederos digitales. Las funciones sensibles pueden protegerse mediante procedimientos de confirmación de transacciones, permisos limitados a tareas específicas, restricciones de gasto y verificaciones adicionales cuando corresponda. Los operadores también deberían mantener inventarios actualizados de sus dependencias externas, investigar patrones de negociación inusuales y establecer procedimientos que permitan desactivar rápidamente servicios comprometidos. Las evaluaciones periódicas de seguridad deben incluir a los proveedores y las integraciones que funcionan en el navegador, en lugar de centrarse exclusivamente en los contratos inteligentes.
Qué deberían aprender los operadores sobre el incidente de octubre de 2026
Los usuarios particulares no pueden controlar por completo las vulnerabilidades de seguridad del software utilizado por un operador de mercados de predicción, pero sí pueden adoptar precauciones para reducir su exposición. Es recomendable utilizar contraseñas únicas, activar la autenticación multifactor cuando esté disponible y revisar regularmente la actividad de las cuentas. Cuando el servicio lo permita, separar las criptomonedas destinadas al almacenamiento a largo plazo de los monederos utilizados para negociar con frecuencia puede limitar los fondos expuestos a un único servicio. Los permisos concedidos a los monederos también merecen atención, especialmente cuando una aplicación solicita autorización para transferir tokens. Sin embargo, el incidente de octubre demuestra que estas medidas no pueden garantizar una protección completa cuando el código malicioso actúa a través de una sesión que ya ha sido autenticada.
Cualquier persona que utilizara Polymarket durante el periodo afectado debería revisar su historial de operaciones, las transferencias de sus monederos y el estado de cualquier reembolso. La empresa señaló que las compensaciones correspondientes se determinaron a partir de los registros de blockchain y de negociación, sin exigir que todos los clientes afectados presentaran una solicitud individual. Los usuarios que consideren que sus pérdidas se calcularon incorrectamente pueden consultar la información sobre el incidente publicada en https://status.polymarket.com/ y seguir las instrucciones oficiales para solicitar una revisión. También conviene desconfiar de los mensajes de compensación no solicitados, especialmente de aquellos que pidan frases de recuperación, claves privadas o conexiones inesperadas a monederos digitales. Un procedimiento legítimo de reembolso nunca debería exigir que se revele la frase secreta de recuperación de un monedero.
El ciberataque a Polymarket de octubre de 2026 demostró que la seguridad de un mercado de predicción basado en criptomonedas no puede evaluarse únicamente mediante el análisis de su tecnología blockchain. Un script comprometido de supervisión del rendimiento fue suficiente para interferir en sesiones de negociación auténticas, provocar pérdidas millonarias e interrumpir el acceso a mercados sensibles al paso del tiempo. La respuesta de Polymarket incluyó la eliminación de la dependencia maliciosa, el restablecimiento de las operaciones, la renovación de las sesiones y la organización de compensaciones, pero el incidente también puso de manifiesto una responsabilidad más amplia de los operadores de servicios financieros en Internet: los servicios externos deben considerarse posibles fuentes de riesgo y no componentes automáticamente fiables. A medida que los mercados de predicción continúen gestionando volúmenes importantes de negociación, controlar estas dependencias seguirá siendo fundamental para proteger a los usuarios y mantener la confianza en su funcionamiento.
