$2 Million+ Drained From Polymarket Traders in New Supply Chain Attack

La pla­ta­for­ma in­ter­na­cio­nal de pro­nós­ti­cos Poly­mar­ket de­tu­vo tem­po­ral­men­te sus ope­ra­cio­nes en su sitio web in­ter­na­cio­nal de­bi­do a re­ti­ros no au­to­ri­za­dos de­tec­ta­dos por los usua­rios. La com­pa­ñía ex­pli­có que un pro­vee­dor ex­terno su­frió un com­pro­mi­so de se­gu­ri­dad, lo que mo­ti­vó la sus­pen­sión de cier­tas fun­cio­nes y la pues­ta en modo de solo can­ce­la­ción, aun­que las ope­ra­cio­nes se reanu­da­ron apro­xi­ma­da­men­te una hora más tarde y se pro­me­tió el re­em­bol­so total a los afec­ta­dos sin re­ve­lar la iden­ti­dad del pro­vee­dor ni las pér­di­das exac­tas.

In­ves­ti­ga­do­res re­la­cio­na­ron el in­ci­den­te con có­di­go ma­li­cio­so pro­ve­nien­te de la em­pre­sa bri­tá­ni­ca de mo­ni­to­reo de ren­di­mien­to web De­bug­Bear, la cual con­fir­mó estar bajo un in­ci­den­te de se­gu­ri­dad y re­co­men­dó re­ti­rar su có­di­go de los si­tios. Ex­per­tos en ci­ber­se­gu­ri­dad se­ña­la­ron que el script ma­li­cio­so bus­ca­ba he­rra­mien­tas de ne­go­cia­ción y car­te­ras de los usua­rios au­ten­ti­ca­dos para ven­der po­si­cio­nes, trans­fe­rir fon­dos o en­viar to­kens di­rec­ta­men­te a una di­rec­ción con­tro­la­da por el ata­can­te, apro­ve­chan­do la au­to­ri­dad dis­po­ni­ble en la apli­ca­ción sin ex­traer con­tra­se­ñas, fra­ses se­mi­lla o cla­ves pri­va­das.

Las es­ti­ma­cio­nes sobre los fon­dos sus­traí­dos pre­sen­tan va­ria­cio­nes según dis­tin­tas fuen­tes de aná­li­sis en ca­de­na y cap­tu­ras de pan­ta­lla re­vi­sa­das, con ci­fras que os­ci­lan en mi­llo­nes de dó­la­res y que in­vo­lu­cran a nu­me­ro­sos mo­ne­de­ros y di­rec­cio­nes afec­ta­das. Este su­ce­so ocu­rre meses des­pués de que Poly­mar­ket su­frie­ra otro com­pro­mi­so de ter­ce­ros que tam­bién in­yec­tó un script ma­li­cio­so en su in­ter­faz, y coin­ci­de con un ata­que de gran mag­ni­tud su­fri­do por Bi­nan­ce en la misma fecha.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre el nú­me­ro exac­to de víc­ti­mas ni sobre la forma en que se ma­ni­pu­ló el script del pro­vee­dor ex­terno.