Un fallo en el proceso de alta de Polymarket habría permitido a atacantes con datos personales robados hacerse con casi 500 cuentas estadounidenses ya existentes a finales de julio, junto con los métodos de pago vinculados.
Puntos clave:
- Un error de registro habría permitido entrar en la cuenta real de un operador solo con sus datos personales, sin usuario ni contraseña
- Quedaron expuestas cuentas bancarias y tarjetas de débito vinculadas, y algunos usuarios afirman haber perdido miles de dólares mientras el soporte guardaba silencio
- El incidente llega tras una oleada de fraude en febrero, en la que se intentó mover al menos 10 millones de dólares con tarjetas de débito robadas
Un fallo en el registro dejó al descubierto a los operadores de Polymarket
Cualquiera que abriera una nueva cuenta con los datos personales de un operador existente, como un número de la Seguridad Social robado, habría accedido directamente al perfil real de ese usuario, según una investigación periodística publicada el sábado descubrió.
Los intrusos no necesitaban usuario, contraseña ni un teléfono comprometido, y las cuentas bancarias y tarjetas de débito asociadas a esos perfiles también quedaban al alcance.
Una persona conocedora del asunto calificó de reducido el importe total sustraído, aunque no dio cifra, y una portavoz de la compañía aseguró que Polymarket cubriría el dinero perdido en el incidente. Sin embargo, los usuarios relataron una versión distinta. Hablaron de pérdidas de miles de dólares y de semanas de mensajes al servicio de atención sin respuesta.
Un operador explicó que, al entrar en julio, vio que sus posiciones habían sido cerradas y que 5.783,51 dólares de ganancias se habían transferido a una tarjeta de débito que no era suya. Según dijo, la compañía abonó 25 dólares en su cuenta, no ofreció ninguna explicación y más tarde bloqueó el acceso después de que presentara dos veces sus datos de verificación.
Lea también: Las previsiones de Nvidia para 2030 dejan una horquilla de 727 a 28.560 dólares
Una advertencia de Checkout.com precedió a la respuesta de Coplan
El fallo de cuentas se produjo después de una oleada más amplia de fraude en febrero, cuando ladrones vincularon tarjetas de débito robadas a miles de nuevas cuentas en EE. UU. e intentaron mover al menos 10 millones de dólares. El procesador de pagos Checkout.com llegó a rechazar en un momento más del 80% de los depósitos por fraudulentos, frente a una media del sector de alrededor del 1%. Las tasas de fraude volvieron a niveles normales en mayo, después de que la empresa limitara el número de tarjetas de débito por cuenta y contratara a la firma antifraude Riskified.
El equipo de cumplimiento trasladó el problema al consejero delegado, Shayne Coplan, quien, según recuerdan empleados actuales y anteriores, les dijo que siguieran creciendo y pagaran una multa si los reguladores acababan descubriéndolo. De acuerdo con personas consultadas para el reportaje, la respuesta dejó desconcertado al equipo.
El historial de seguridad de Polymarket, bajo escrutinio
Analistas han cuestionado si el crecimiento de la compañía se adelantó al cumplimiento normativo en una empresa que ahora busca financiación con una valoración de unos 21.000 millones de dólares. También señalan que la cifra de 10 millones corresponde a intentos de robo, no a pérdidas confirmadas. Polymarket sostiene que ha reforzado sus sistemas y un examen interno del despacho Sullivan & Cromwell concluyó que la firma había cumplido con la normativa.
El fallo de julio culminó una etapa complicada para la plataforma, que no ha publicado un informe público detallando el incidente del registro. En junio, la compañía confirmó que un proveedor comprometido había inyectado un script malicioso en su web, y los atacantes vaciaron unos 3,1 millones de dólares de 11 carteras de usuarios antes de que se prometieran reembolsos.
Siguiente lectura: Google Gemini hackea a 3 empresas en los primeros ataques autónomos conocidos
