El hackeo a Polymarket drenó aproximadamente 2,7 millones de dólares de las billeteras de los usuarios el jueves 29 de octubre de 2026, después de que atacantes comprometieran a un proveedor externo e introdujeran código malicioso en el sitio web del mercado de predicciones, secuestrando sesiones de negociación activas y desviando fondos a una billetera controlada por los atacantes. Polymarket suspendió las operaciones en su plataforma internacional durante aproximadamente una hora, corrigió el problema y prometió reembolsar íntegramente a cada operador afectado.

La brecha se produjo la misma caótica tarde en que el mayor exchange de criptomonedas del mundo, Binance, vio salir miles de millones de dólares de sus billeteras activas, aunque ninguna fuente ha vinculado ambos incidentes. También llegó apenas cinco días antes de las elecciones intermedias del 3 de noviembre, cuando los mercados electorales de Polymarket registran su mayor tráfico del año.

Puntos Clave

• Alrededor de 2,7 millones de dólares en criptomonedas fueron drenados de las billeteras de usuarios de Polymarket el 29 de octubre de 2026, según rastreadores de blockchain y CoinDesk.
• El ataque se ejecutó a través de un proveedor externo comprometido, el servicio de monitoreo web DebugBear, que inyectó JavaScript malicioso en la interfaz de Polymarket.
• Polymarket restringió las operaciones al modo de solo cancelación, pausó su retransmisor y luego restableció el servicio tras aproximadamente una hora, con la promesa de un reembolso total.
• The Wall Street Journal informó que los hackers accedieron a fondos de más de 700 cuentas de usuarios; el servicio específico para Estados Unidos no resultó afectado.
• Es el segundo drenaje por compromiso de un proveedor en Polymarket en cinco meses, tras un ataque casi idéntico en junio de 2026 que sustrajo cerca de 3 millones de dólares.

Qué Pasó

Los problemas comenzaron el jueves por la tarde, cuando usuarios de Polymarket empezaron a reportar retiros inesperados y criptomonedas que desaparecían de sus cuentas. Los rastreadores de blockchain observaron cómo una dirección previamente vacía comenzaba a recibir fondos alrededor de las 17:05 UTC. A las 17:25 UTC su botín ya era de unos 412.000 dólares; a las 17:50 UTC había subido a aproximadamente 2,02 millones; y a las 18:05 UTC se situaba en torno a 2,68 millones.

Polymarket respondió poniendo su exchange en modo de solo cancelación, lo que significa que los usuarios podían cancelar órdenes pero no colocar nuevas, y pausando su retransmisor, la infraestructura que procesa las transacciones. A las 18:37 UTC la empresa dijo que había identificado y corregido el problema en su plataforma internacional, Polymarket.com. Su página de estado marcó el incidente como resuelto a las 19:05 UTC, y las operaciones se reanudaron, con la empresa señalando que la interrupción había durado aproximadamente una hora.

Los analistas de blockchain rastrearon aproximadamente 2,5 millones de dólares de los fondos robados hasta una única dirección sospechosa. Según se informó, los fondos se convirtieron en tokens POL, dejando a la dirección receptora con alrededor de 28,6 millones de tokens en la primera estimación. La propia Polymarket no ha publicado una cifra final de pérdidas ni un recuento de usuarios afectados, por lo que los totales reportados siguen siendo estimaciones de análisis independientes.

Antecedentes y Contexto

Polymarket es un mercado de predicciones en línea donde los usuarios negocian sobre los resultados de eventos del mundo real, desde elecciones y deportes hasta decisiones económicas y conflictos internacionales. Los operadores compran participaciones en un resultado previsto; si la predicción se cumple, las participaciones ganadoras pagan. La plataforma procesa las transacciones con tecnología de criptomonedas y se ha convertido en uno de los barómetros más observados del sentimiento electoral antes de las intermedias de 2026.

Ese crecimiento ha llegado con escrutinio. La Comisión de Comercio de Futuros de Productos Básicos de Estados Unidos (CFTC) investiga por separado si Polymarket incumplió un acuerdo de 2022 al no mantener a los usuarios estadounidenses fuera de su plataforma en el extranjero, una pesquisa reactivada en octubre de 2026. La empresa también ha estado profundizando su presencia en el mercado estadounidense, lo que convierte la seguridad de sus sesiones de negociación en una cuestión tanto política como financiera.

El momento agravó la historia. Horas antes de la suspensión de Polymarket, billeteras identificadas en cadena como billeteras activas de Binance perdieron hasta 5.800 millones de dólares en Ethereum, Bitcoin y Tron en aproximadamente 40 minutos, entre las 20:24 y las 21:04 UTC, según The Block. Binance confirmó después un impacto estimado de 6.300 millones de dólares y dijo que la laptop comprometida de un ingeniero de DevOps había permitido a un atacante alcanzar un contenedor de servicio y enviar retiros no autorizados. Binance afirmó que los fondos de los usuarios estaban seguros y serían cubiertos en su totalidad. Ninguna fuente ha vinculado el incidente de Binance con el drenaje de Polymarket; fueron dos fallos distintos en la misma tarde.

Hackeo a Polymarket: cómo funcionó el script del proveedor

Según BleepingComputer y otros reportes de seguridad, el hackeo a Polymarket no tocó en absoluto los contratos inteligentes de la plataforma. En cambio, los atacantes comprometieron a DebugBear, un servicio de monitoreo del rendimiento web cuyo fragmento de código cargaba el sitio de Polymarket. El proveedor comprometido sirvió JavaScript malicioso a los visitantes de la interfaz de Polymarket.

La firma de seguridad Hudson Rock descubrió que el script leía parámetros de inicio de sesión, direcciones de billeteras proxy y claves API de negociación desde el almacenamiento del navegador, secuestrando sesiones de negociación autenticadas. Con ese acceso, el código podía vender las posiciones de los usuarios y transferir criptomonedas a billeteras controladas por los atacantes, mientras los usuarios creían estar operando con normalidad.

Esa distinción importa. La blockchain en sí no se rompió y ningún contrato inteligente fue explotado. El eslabón débil fue la infraestructura web ordinaria sobre los rieles cripto: un único script de terceros con suficiente alcance en sesiones de negociación activas para drenarlas. Es el mismo patrón que los investigadores de seguridad señalaron en junio de 2026, cuando un ataque casi idéntico por compromiso de un proveedor drenó cerca de 3 millones de dólares de al menos 11 billeteras de usuarios mediante un script inyectado en la interfaz.

Reacciones y Declaraciones

Polymarket se dirigió a los usuarios en X a través de su cuenta Polymarket Traders el 29 de octubre: "We've identified & fixed an issue impacting our international platform, Polymarket.com. One of our 3rd party providers was compromised, and we have referred this to relevant law enforcement."

La empresa añadió: "Anyone who has been impacted will be made whole." Y en una actualización posterior dijo: "We'll make this right and are fully reimbursing all affected traders."

Sobre quién estuvo detrás del ataque, la empresa y los investigadores han sido cautelosos. Los atacantes siguen sin identificar, y actualmente no hay evidencia confirmada que vincule el ataque con un país específico o una organización de hackeo patrocinada por un Estado. Según se informó, Hudson Rock encontró una billetera de criptomonedas sospechosa incrustada dentro del código malicioso, y los investigadores están examinando las transacciones conectadas con esa billetera.

Polymarket también confirmó que el asunto había sido remitido a las fuerzas del orden en el Reino Unido, donde tiene su sede DebugBear, y subrayó que su plataforma específica para Estados Unidos no resultó afectada por la brecha.

Por Qué Importa

La cifra en dólares es pequeña junto al susto multimillonario de Binance, pero la cuestión de confianza es mayor. Un mercado de predicciones que pide a apostadores comunes estacionar dinero en resultados electorales necesita que los usuarios crean que sus billeteras seguirán teniendo dinero mañana. Un drenaje de 2,7 millones de dólares mediante un script, cinco días antes de que voten los estadounidenses, pone a prueba esa creencia en el peor momento posible.

El patrón repetido es el problema más profundo. Dos veces en cinco meses, un proveedor comprometido ha logrado alcanzar sesiones de negociación activas de Polymarket mediante código inyectado en la interfaz. Eso sugiere que el incidente de junio no produjo una corrección lo bastante sólida para detener la misma clase de ataque, y plantea preguntas sobre cuántos otros scripts de terceros se interponen entre los usuarios y sus fondos en plataformas que están escalando rápidamente hacia el uso masivo.

También hay una sombra regulatoria. Con la CFTC ya investigando el manejo de Polymarket de los usuarios estadounidenses en su mercado en el extranjero, un segundo incidente de seguridad en un año da a reguladores y legisladores material nuevo, y da a los escépticos de las apuestas electorales un ejemplo concreto de lo que puede salir mal cuando dinero real depende de una sesión de navegador.

Qué Sigue

El proceso de reembolso de Polymarket es el paso inmediato siguiente: la empresa ha prometido que cada operador afectado será compensado íntegramente, aunque aún no ha publicado un total final de pérdidas ni un cronograma de pagos. Las fuerzas del orden en el Reino Unido examinarán cómo se comprometió al proveedor y rastrearán las billeteras controladas por los atacantes.

Los investigadores de seguridad también estarán atentos al informe posterior de la empresa: si elimina o aísla los scripts de terceros de las páginas de negociación, audita a cada proveedor con acceso a la interfaz y añade controles para que un único fragmento comprometido no pueda leer credenciales de sesión. Hasta que llegue ese informe, los usuarios pueden reducir su propia exposición cerrando las sesiones de negociación cuando no estén activos, revocando sesiones y claves API obsoletas, y manteniendo en la plataforma solo los fondos con los que estén operando activamente.

La industria cripto en general también estará observando. Dos fallos no relacionados en una misma tarde, uno drenando millones a través de un script web y otro moviendo miles de millones a través de billeteras activas, ya han renovado los llamados para que los exchanges y los mercados de predicción traten su fontanería web ordinaria con la misma seriedad que sus blockchains. Con las intermedias a días de distancia y los mercados electorales en volumen máximo, Polymarket puede esperar que cada operación, y cada interrupción, sea observada de cerca.

Preguntas Frecuentes

¿Cuánto dinero se robó en el hackeo a Polymarket?

Los rastreadores de blockchain y CoinDesk sitúan la cifra en aproximadamente 2,7 millones de dólares, con BleepingComputer rastreando alrededor de 2,57 millones. Polymarket no ha confirmado un total final, por lo que la cifra sigue siendo una estimación de análisis independientes.

¿Cómo drenaron los hackers las billeteras de Polymarket?

Los atacantes comprometieron a DebugBear, un proveedor externo de monitoreo web, y lo usaron para inyectar JavaScript malicioso en la interfaz de Polymarket. El script secuestró sesiones de negociación autenticadas, vendió las posiciones de los usuarios y desvió fondos a una billetera controlada por los atacantes. Los contratos inteligentes no fueron tocados.

¿Resultó afectada la versión estadounidense de Polymarket?

No. Polymarket dijo que el problema afectó a su plataforma internacional, Polymarket.com, y que su plataforma específica para Estados Unidos no resultó afectada por la brecha.

¿Recuperarán su dinero los usuarios afectados de Polymarket?

Polymarket ha dicho que sí, prometiendo que cualquier persona afectada será compensada íntegramente y que está reembolsando por completo a todos los operadores afectados. Aún no ha publicado un cronograma de pagos.

¿Está conectado el hackeo a Polymarket con el hackeo a Binance?

No existe una conexión confirmada. Los dos incidentes ocurrieron con horas de diferencia el 29 de octubre de 2026, pero usaron métodos distintos: un script de un proveedor en Polymarket, y la laptop comprometida de un ingeniero que alcanzó un contenedor de servicio en Binance.

Cobertura relacionada: Hackeo a Binance: 5.700 millones robados en el mayor robo cripto de la historia, Binance suspende los retiros para todos los usuarios y confirma un impacto de 6.300 millones, y La CFTC reabre la investigación a Polymarket por usuarios de EE. UU. en su mercado.