Polymarket dijo que reembolsará por completo a los usuarios después de que un script de un proveedor comprometido drenara alrededor de 3 millones de dólares de menos de 15 cuentas.
Puntos clave:
- Polymarket dijo que el compromiso de un proveedor externo inyectó código malicioso en su frontend.
- Investigadores de seguridad rastrearon alrededor de 3 millones de dólares en pérdidas en menos de 15 cuentas afectadas.
- La brecha se produce después de un incidente separado con una billetera de administrador que no afectó los fondos de los usuarios.
Hackeo a Polymarket
Polymarket confirmó el viernes que los atacantes utilizaron un proveedor externo comprometido para colocar código malicioso en su frontend, exponiendo a algunos usuarios a un ataque que drenaba sus billeteras.
La brecha fue señalada por primera vez por el investigador de seguridad on-chain Specter, quien dijo que una aparente campaña de phishing había vaciado fondos de más de 11 billeteras que contenían PUSD (PUSD), la stablecoin de Polymarket.
Specter estimó las pérdidas en 2,94 millones de dólares, mientras que PeckShield posteriormente confirmó una cifra similar y dijo que el atacante puenteó fondos desde Polygon (POL) a Ethereum (ETH), y luego los convirtió en 1.893 ETH.
La plataforma reconoció la brecha a través de su cuenta Polymarket Traders en X, señalando que la dependencia afectada había sido eliminada y que los usuarios impactados serían contactados directamente.
«Esta mañana descubrimos que un proveedor externo había sido comprometido, inyectando un script malicioso en nuestro frontend para algunos usuarios. Lo hemos contenido y eliminado la dependencia afectada», escribió. «Estamos contactando a los usuarios afectados y reembolsándolos por completo».
También lea: Cofundador de Anthropic dice que el primer verdadero shock laboral de la IA está golpeando a los graduados
Repercusiones de seguridad
William LeGate, quien trabaja estrechamente con la plataforma, reiteró que el problema se había resuelto y dijo que los usuarios afectados recibirían una compensación total.
GoPlus Security describió el incidente como un ataque a la cadena de suministro, indicando que alrededor de 15 cuentas resultaron afectadas y que las pérdidas totalizaron 3 millones de dólares.
Bubblemaps llegó a la misma conclusión general y elogió la respuesta de Polymarket después de que los fondos fueran drenados y el exploit contenido.
La última brecha aumenta la presión porque se produce tras otro incidente el mes pasado, cuando una billetera de administrador utilizada para recargar recompensas a empleados perdió alrededor de 700.000 dólares, probablemente por el compromiso de una clave privada.
El investigador cripto ZachXBT estimó inicialmente esa pérdida anterior en unos 520.000 dólares, antes de que Bubblemaps citara posteriormente la cifra más alta tras rastrear fondos a través de varias direcciones.
El desarrollador Josh Stevens dijo que una clave privada de 6 años había quedado expuesta a través de la configuración interna, después de lo cual la empresa rotó las credenciales y pasó a servicios de gestión de claves.
Ambas brechas afectaron a sistemas alrededor de los mercados de predicción, más que a los propios mercados, pero llegaron en un período difícil para la empresa. The Wall Street Journal informó recientemente que Polymarket pagó a creadores universitarios entre 2.000 y 3.000 dólares al mes para publicar videos de apuestas guionizados, y otro trader afirmó este mes que los cambios de reglas vinculados a un mercado de venta de Bitcoin de Strategy le costaron 500.000 dólares.
Lea a continuación: Los hackers BlueNoroff de Corea del Norte usaron videollamadas falsas de Zoom generadas con IA para vulnerar a 100 ejecutivos cripto