Hackers roban unos US$2.7 millones a usuarios de Polymarket con un script de terceros secuestrado

El código malicioso reemplazó un script de medición de DebugBear y vació posiciones de 726 billeteras. Polymarket devuelve US$3.9 millones en total.

Un código malicioso en el sitio del mercado de predicciones Polymarket vendió posiciones de usuarios con sesión abierta y movió sus fondos a los atacantes el 29 de octubre, informó The Hacker News el 1 de noviembre de 2026. El código reemplazó un script de medición de velocidad que el sitio cargaba de la empresa DebugBear.

Polymarket está reembolsando unos US$2.7 millones a 726 billeteras afectadas. Según el rastreo de Ohey, la billetera de los atacantes recibió 28.6 millones de tokens POL, unos US$2.64 millones, en menos de una hora. DebugBear dijo que sus registros DNS fueron comprometidos a través de su registrador de dominios y que no ha visto señales de intrusión en sus propios sistemas.

Hudson Rock, que analizó el archivo, explicó que el código aprovechaba el acceso que el usuario ya tenía en la página abierta: buscaba la parte del sitio que coloca órdenes y le pedía al firmante de la cuenta aprobar las operaciones. Polymarket retiró el script «en menos de una hora», reinició todas las sesiones, pausó el comercio y refirió el caso a las autoridades. En total devolverá US$3.9 millones, incluidos pagos a usuarios que perdieron dinero durante la pausa.

Para los sitios que cargan código externo, Hudson Rock recomienda quitarlo de las páginas donde los usuarios operan o firman, y usar Subresource Integrity, que hace que se rechace un archivo si su contenido cambia. A los usuarios les aconseja rechazar cualquier solicitud de firma que no esperaban.

Fuente: The Hacker News: «Hackers Steal About $2.7 Million From Polymarket Traders via Hijacked DebugBear Script», 1 de noviembre de 2026.