Ataque de cadena de suministro al frontend de Polymarket vía DebugBear

El 29 de octubre de 2026, Polymarket sufrió un ataque de aproximadamente 2,7 millones de dólares después de que un proveedor de monitoreo externo comprometido inyectara JavaScript malicioso en el frontend de su plataforma internacional de trading.

Qué ocurrió

Polymarket solo declaró que «uno de nuestros proveedores externos fue comprometido». Una persona familiarizada con el asunto dijo a CNBC que el punto de entrada fue un hackeo de DebugBear, una empresa británica de monitoreo de rendimiento de sitios web; DebugBear confirmó estar «afectada por un incidente de seguridad en curso». Hudson Rock descubrió que un script cargado desde la infraestructura de Real User Monitoring de DebugBear contenía código dirigido a sesiones de trading con sesión iniciada, ejecutando transacciones no autorizadas directamente desde el navegador. Los smart contracts de la plataforma nunca fueron el punto de fallo. Los analistas de blockchain (Betting Intelligence, Polysights y Bubblemaps) contabilizaron unos 2,7 millones de dólares drenados de alrededor de 700 wallets; la supuesta dirección del atacante tenía unos 2,65 millones de dólares en POL, el token nativo de Polygon, tras intercambiar los activos robados. La plataforma estadounidense de Polymarket no se vio afectada.

Consecuencias

Polymarket puso su plataforma internacional en modo solo-cancelación y pausó el trading durante aproximadamente una hora, reanudándolo cerca de las 15:00 ET. Dijo que los traders afectados «serán resarcidos» y que estaba «reembolsando por completo a todos los traders afectados», y remitió el asunto a las autoridades del Reino Unido. La empresa no ha revelado una cifra de pérdidas confirmada, un recuento de usuarios ni un calendario de reembolso.

Por qué importa

Es la segunda vulneración de cadena de suministro del frontend de Polymarket en 2026, tras el ataque de phishing de frontend de junio que drenó unos 2,94 M$ a través de un proveedor distinto. La repetición subraya una debilidad estructural de las apps web no custodias: un único script de terceros — analítica, monitoreo o un gestor de etiquetas — cargado en una página que firma transacciones se convierte en una vía directa hacia los fondos de los usuarios. Como en el incidente anterior, los contratos resistieron; el navegador no. Refuerza el tema del catálogo de que las dependencias de frontend y de terceros son hoy una superficie de ataque primaria, independientemente de la calidad del código on-chain.