Polymarket ha restringido las operaciones al modo de solo cancelación y ha pausado las acciones del relayer mientras investiga un incidente ocurrido el 29 de octubre, después de que los usuarios hayan reportado retiros no autorizados y una cuenta de redes sociales haya alegado pérdidas de 2,68 millones de dólares.
Resumen
- Polymarket ha restringido las operaciones y ha pausado las acciones del relayer mientras investiga un incidente.
- Un trader llamado Car reportó haber perdido 800.000 dólares y dijo que todas sus posiciones fueron vendidas.
- StarPlatinum alegó pérdidas de 2,68 millones de dólares, sin confirmación oficial del monto ni de la causa.
- Las actualizaciones de estado de la compañía han descrito una investigación sin confirmar un compromiso del frontend.
El aviso de incidente de Polymarket registra la interrupción a las 18:05 UTC y la clasifica como una interrupción mayor que afecta a su API de Trading de Predicciones, conocida como CLOB.
Polymarket permite cancelaciones mientras se detienen las nuevas operaciones
En una actualización de estado, la plataforma dijo que los usuarios podían cancelar órdenes existentes, pero las nuevas órdenes y operaciones no se estaban procesando. Las acciones del relayer permanecieron pausadas durante la investigación, según la actualización publicada por Polymarket Status.
El aviso de incidente indica que el exchange está en "modo de solo cancelación y acciones del relayer pausadas". Su lista de servicios afectados identifica a Predictions y a la API de Trading de Predicciones, sin nombrar a un proveedor comprometido, describir un método de ataque ni proporcionar una estimación de pérdidas.
La hora registrada en el aviso corresponde a las 2:05 p.m. del Horario de Verano del Este del 29 de octubre.
Ni el aviso ni las publicaciones de estado examinadas anunciaron un programa de reembolso, una fecha límite para que los clientes retiren fondos ni un calendario para restaurar las operaciones normales.
Los traders reportan pérdidas y sospechan de un compromiso del frontend
Publicando en X, un trader que usa el nombre Car dijo que su cuenta había sido vaciada de 800.000 dólares y afirmó que un amigo había perdido 600.000 dólares. En una respuesta, escribió: "Todas mis posiciones fueron vendidas", enlazando a su perfil público de Polymarket.
En una publicación posterior, Car describió las precauciones que dijo tomar rutinariamente, incluida la separación de la actividad personal, el desarrollo y el trading en diferentes dispositivos. Sospechó de un compromiso del frontend porque parecían estar afectados múltiples usuarios, pero presentó esa explicación como una posibilidad.
Jeremy, otro usuario de X, describió a Polymarket como hackeado y dijo que su frontend estaba presuntamente comprometido. Su publicación incluía el aviso de interrupción de la plataforma y una imagen de una solicitud de firma de mensaje de billetera que mostraba el dominio de Polymarket.
La imagen de la firma muestra un campo de datos etiquetado como "DepositWallet", el ID de cadena 137 y un indicador de "No verificado". La imagen no muestra una transacción completada, un hash de transacción ni el campo completo del contrato verificador.
Una cuenta separada, StarPlatinum, alegó que cientos de retiros habían pasado por la infraestructura de billetera de depósito de Polymarket, con una billetera receptora acumulando fondos durante aproximadamente una hora.
Según la cronología de esa cuenta, la billetera comenzó a recibir fondos a las 17:05 UTC, tenía $412,000 a las 17:25, alcanzó $2.02 millones a las 17:50 y llegó a un máximo de $2.68 millones a las 18:05. La actividad sospechosa seguía registrándose a las 18:10, afirmó la publicación.
StarPlatinum identificó una dirección de destinatario sospechosa y un proxy de Deposit Wallet Factory, y alegó que la infraestructura de transacciones patrocinadas de Relay estaba involucrada. La cuenta dijo explícitamente que las sospechas de un frontend comprometido no habían sido confirmadas oficialmente.
La misma publicación afirmó que el destinatario acumuló 28.6 millones de POL, con fondos convertidos a partir de los saldos de depósito de los usuarios.
Las cifras siguen siendo estimaciones de redes sociales. Las declaraciones examinadas de Polymarket no confirmaron las pérdidas individuales reportadas, el monto agregado, la identidad del destinatario ni la ruta de transacción propuesta.
El ataque a Polymarket de junio provocó una promesa de reembolso
En junio, Polymarket reconoció que un proveedor externo comprometido había permitido la entrada de un script malicioso en su frontend para algunos usuarios, como crypto.news informó previamente en su cobertura de su promesa de reembolso anterior.
Una estimación de pérdidas posterior alcanzó los $3.1 millones, según AMLBot. En su evaluación del 27 de junio, la firma describió fondos tomados en PUSD en Polygon, convertidos a través de Relay, transferidos mediante puente a Ethereum y cambiados a ETH.
El compromiso de reembolso anterior concernía al incidente de junio. Los avisos del 29 de octubre examinados no contenían ninguna promesa equivalente respecto a las pérdidas recién reportadas.
Una plataforma separada en EE. UU. opera bajo las normas federales de derivados
La plataforma blockchain internacional de Polymarket y su bolsa regulada en EE. UU. operan como plataformas distintas. La cobertura actualizada el 31 de julio describe el servicio internacional como basado en billetera, mientras que la bolsa estadounidense opera a través de una bolsa y organización de compensación con licencia de la CFTC.
El aviso del incidente del 29 de octubre examinado nombra la Predictions Trading API en el sitio de estado del servicio internacional. No identifica a la bolsa estadounidense separada como una plataforma afectada.
En otros lugares de los mercados de predicción, Predict.fun confirmó transferencias de billetera no autorizadas por un total de aproximadamente 400,000 USDT en una declaración del 27 de octubre. Su investigación preliminar apuntó a un posible compromiso de un sitio de documentación de API alojado externamente.
Predict.fun dijo que el sitio de documentación afectado permanecería fuera de línea durante su investigación y prometió un reembolso completo por las pérdidas resultantes directamente de ese incidente. La compañía se comprometió a publicar un análisis post-mortem detallado después de completar la investigación.
