Polymarket sufre ataque y pierde ~$2.94M por script…
La plataforma dice que la dependencia afectada fue eliminada y que los usuarios impactados serán reembolsados completamente.
Polymarket dijo que contenía un compromiso de un proveedor externo que permitió a los atacantes inyectar un script malicioso en su frontend, con un analista estimando que se drenaron alrededor de $2.94 millones de al menos 11 billeteras de usuarios. La plataforma dijo que la dependencia afectada fue eliminada y que los usuarios impactados serían reembolsados completamente.
Puntos Clave
- Un compromiso de un proveedor externo permitió la inyección de un script malicioso en Polymarket’s frontend, afectando a múltiples usuarios.
- El analista de blockchain Specter estimó que aproximadamente $2.94 millones fueron drenados de al menos 11 billeteras, describiendo el flujo como habilitado por phishing.
- Polymarket dijo que el incidente “ha sido contenido,” que “la dependencia afectada ha sido eliminada,” y que los usuarios “serían reembolsados completamente.”
- DefiLlama registró el evento como la 89ª violación de seguridad cripto reportada del Q2 por conteo de incidentes y puso las pérdidas por explotación en junio en $74.9 millones a través de 29 incidentes.
Compromiso del Proveedor de Polymarket Inyecta Script Malicioso en el Frontend
Los atacantes comprometieron a un proveedor externo utilizado por Polymarket y utilizaron ese acceso para inyectar un script malicioso en el frontend de la plataforma, afectando a múltiples usuarios. El mecanismo es importante porque apunta a la capa web con la que los traders realmente interactúan, no necesariamente a los contratos en la cadena.
El analista de blockchain Specter estimó que el incidente drenó alrededor de $2.94 millones de al menos 11 billeteras de usuarios de Polymarket. Specter dijo que el script inyectado parecía facilitar el phishing, un patrón en el que se manipula una interfaz de confianza para engañar a los usuarios y hacer que aprueben transferencias o revelen información sensible.
El paquete no incluye un total de pérdidas confirmado por la plataforma, el número completo de usuarios afectados, ni la ventana de tiempo exacta en la que el script estuvo activo, más allá de una referencia al descubrimiento el jueves. Eso deja a los traders trabajando con una estimación de analistas mientras esperan un informe final.
Pasos de Contención y Compromiso de Reembolso de Polymarket
Polymarket dijo en X que el compromiso “ha sido contenido” y que la “dependencia afectada ha sido eliminada.” La plataforma también afirmó que los usuarios afectados “serían reembolsados completamente.”
Ese compromiso de reembolso es el estabilizador clave para el comportamiento de los usuarios a corto plazo. Puede limitar el daño reputacional si se ejecuta de manera rápida y limpia, pero no elimina el riesgo operativo para los usuarios activos hasta que haya una confirmación de los detalles de procesamiento y de los casos extremos.
En incidentes como este, el efecto de segundo orden a menudo es la confianza en la interfaz, no solo la cantidad de dólares perdidos.
El incidente también ocurre después de una divulgación separada de Polymarket hace aproximadamente un mes sobre un exploit de $600,000 relacionado con un proyecto de seis años.clave privadautilizado para operaciones internas de recarga. Josh Stevens, vicepresidente de ingeniería de Polymarket, dijo en ese momento que los contratos y los fondos de los usuarios permanecían seguros y que los permisos vinculados a la clave fueron revocados.
Contexto de Seguridad: Ritmo de Incidentes del T2 y Totales de Pérdidas de Junio
DefiLlama caracterizó el evento de Polymarket como la 89ª violación de seguridad en criptomonedas reportada del segundo trimestre por conteo de incidentes, ampliando lo que describió como el trimestre más hackeado registrado por conteo de incidentes. Las pérdidas por explotaciones en junio totalizaron $74.9 millones en 29 incidentes, en comparación con $60.5 millones en mayo y $644 millones en abril, según DefiLlama.
El desglose de DefiLlama de los últimos 30 días también enmarca el entorno: los compromisos de claves privadas representaron el 43% de las pérdidas por exploits reportadas, los exploits de pruebas falsas fueron el 10%, y los honeypots de MEV inverso fueron el 8%.
La escala de Polymarket eleva las apuestas. Los datos de DefiLlama colocan a la plataforma en más de $450 millones en TVL, un aumento del 301% desde $112 millones hace un año. Ese crecimiento hace que la integridad del frontend y la higiene del proveedor sean más que un detalle técnico, ya que más flujo del mercado de predicciones ahora está concentrado detrás de una única superficie web.
Señales a observar para el compromiso del proveedor de Polymarket drenan $2.9M.
La primera confirmación que importa es si los reembolsos se han procesado realmente, incluyendo el tiempo, el método y si algún usuario cae en casos límite no resueltos.
A continuación, hay un postmortem que nombra al proveedor o dependencia de terceros comprometido y determina la ventana exacta en la que el script malicioso estuvo activo. Sin eso, los traders no pueden evaluar adecuadamente la exposición o juzgar si la solución es duradera.
El reporte de pérdidas también sigue en flujo. Cualquier actualización más allá de la estimación de Specter, incluyendo billeteras adicionales afectadas o un total confirmado por la plataforma, determinará si esto sigue siendo un incidente contenido a nivel de usuario o se expande a un evento de confianza más amplio.
Finalmente, observa el TVL de Polymarket, actualmente reportado por encima de $450 millones por DefiLlama, en busca de señales de rotación de capital a corto plazo después del lanzamiento de reembolsos. Un TVL plano o en recuperación sugeriría que el mercado está tratando esto como un contratiempo operativo en lugar de un riesgo estructural.riesgo de contraparte..
El riesgo de Frontend/Proveedor es un modo de fallo diferente al riesgo de contrato inteligente.
No trato esto como una historia de contratos inteligentes. El modo de fallo principal descrito aquí es el riesgo de la cadena de suministro web, donde una dependencia comprometida puede convertir un frontend legítimo en una superficie de phishing y empujar a los usuarios a firmar la entrega de fondos.
El umbral que importa es la ejecución: si Polymarket entrega reembolsos completos rápidamente y publica un postmortem claro que reduzca la ventana de exposición, esto se parece más a un catalizador de sentimiento que a un cambio fundamental.
Si el total de pérdidas crece o el procesamiento de reembolsos se retrasa, la configuración comienza a parecer estructural en lugar de impulsada por la narrativa porque la confianza en la interfaz es el producto.
