Polymarket confirma el robo de hasta 700.000 dólares de una cartera interna; los fondos de los usuarios no se ven afectados
Polymarket informó este viernes de una brecha de seguridad que afectó a una cartera interna de "recarga" utilizada para abonar recompensas. La compañía indicó que el monedero fue vaciado tras la exposición de su clave privada, con un desfalco estimado en hasta 700.000 dólares, y recalcó que los fondos de los usuarios y la resolución de los mercados no se han visto comprometidos.
El 22 de mayo, el investigador on-chain ZachXBT alertó de un posible vaciado vinculado a la infraestructura de Polymarket en Polygon, estimando en un primer momento más de 520.000 dólares sustraídos desde direcciones asociadas al mercado de predicciones. Poco después, desarrolladores de Polymarket confirmaron el incidente en X, precisando que el alcance se limitaba a una cartera empleada para recargas internas de recompensas y "no a contratos ni a la infraestructura principal".
Aproximadamente una hora después de las primeras alertas, la plataforma de analítica Bubblemaps elevó la cifra a cerca de 700.000 dólares. Según su análisis, los fondos robados se distribuyeron entre 16 direcciones y se canalizaron a través de exchanges centralizados y otros servicios. Bubblemaps también señaló que las retiradas sospechosas se habrían detenido.
Revisores independientes y firmas de seguridad apuntan a un fallo de seguridad operativa, más que a una vulnerabilidad del protocolo. Andy Yajin Zhou, profesor asociado de la Chinese University of Hong Kong y cofundador de la firma de seguridad on-chain BlockSec, declaró a Decrypt que la evidencia encaja con el compromiso de la clave privada de una cartera administrativa, no con un problema en la lógica de contratos adaptadores ni en la infraestructura del mercado de predicciones. La firma Cyvers coincidió en que el impacto se limitó a carteras de administración/operación y puso el foco en el riesgo estructural asociado a monederos privilegiados y a la gestión de claves.
Dan Dadybayo, responsable de estrategia en la firma de infraestructura Horizontal Systems, enmarcó el episodio en una tendencia más amplia: los atacantes priorizan cada vez más capas operativas —carteras de administrador, permisos y procesos de firma— en lugar de atacar directamente los contratos inteligentes.
Polymarket recordó que sus contratos principales, los que registran apuestas y liquidan mercados, dependen de servicios externos para confirmar resultados. Al tratarse de una cartera destinada únicamente a pagos de recompensas, la empresa sostiene que las liquidaciones y los saldos de los usuarios no han sufrido cambios.
El incidente vuelve a poner de relieve un reto transversal en el sector: incluso con contratos inteligentes robustos, una mala gestión de claves, controles de acceso laxos o una supervisión insuficiente de carteras privilegiadas puede traducirse en pérdidas relevantes. Polymarket y analistas on-chain mantienen el seguimiento de los movimientos de fondos. Decrypt ha solicitado comentarios adicionales a la compañía. La noticia está en desarrollo y se actualizará a medida que se conozca nueva información.
