Polymarket ha sido hackeado: los usuarios denuncian el robo de fondos de sus billeteras.

Polymarket sufrió un incidente de seguridad el 29 de octubre de 2026, cuando un proveedor externo comprometido expuso a los usuarios de su plataforma internacional al robo de monederos.

Los operadores reportaron la desaparición de fondos, retiros inesperados y el cierre de posiciones sin autorización. La empresa suspendió temporalmente las operaciones, afirmó haber solucionado el problema y prometió reembolsar a los usuarios afectados. Posteriormente, se reanudaron las operaciones.

En su comunicado público, Polymarket indicó que un proveedor externo había sido comprometido y que el asunto se había remitido a las autoridades. Si bien las primeras descripciones apuntaban a un proveedor de autenticación, los informes actuales vinculan este incidente con DebugBear, un servicio de monitorización del rendimiento de sitios web. El comunicado de Polymarket no mencionó el nombre del proveedor.

Script malicioso dirigido a sesiones de trading activas

La investigación técnica de Hudson Rock descubrió código JavaScript malicioso distribuido a través de una dirección de DebugBear asociada a Polymarket. En lugar de simplemente medir el rendimiento de la página, el código buscaba una sesión de trading activa, verificaba la información de la cuenta e intentaba utilizar las herramientas de trading existentes de la plataforma para transferir activos. Los investigadores descargaron el archivo dos veces y obtuvieron copias idénticas.

El script leía el almacenamiento del navegador que contenía detalles de la cuenta, una dirección de billetera y credenciales de la API de trading. Luego, buscaba en los componentes React de la aplicación un cliente de trading activo y su firmante, la herramienta utilizada para autorizar las acciones de la billetera. Este método intentaba reutilizar el acceso ya disponible dentro de una sesión iniciada, en lugar de depender únicamente de una contraseña robada.

Su comportamiento variaba según el tipo de cuenta. Una ruta intentaba transferir tokens de posición directamente, mientras que otra intentaba vender posiciones antes de mover los fondos disponibles. Los investigadores también encontraron código que solicitaba firmas y enviaba transacciones a través del intermediario de Polymarket. Sin embargo, no ejecutaron la muestra, por lo que los hallazgos muestran el comportamiento previsto, no una prueba de que todas las transferencias intentadas fueran exitosas.