Polymarket suspendió temporalmente sus operaciones el pasado 29 de octubre durante al menos una hora, luego de que unos atacantes comprometieran un servicio de terceros para distribuir código JavaScript diseñado para robar criptomonedas.
En total, la plataforma de mercados de predicción devolverá $3.9 mdd a los usuarios (traders): $2.7 millones, más $1.2 mdd para cubrir las pérdidas derivadas de la pausa en la plataforma, según informó un día después.
Como parte de su reporte postmortem, detalló que un atacante sustituyó el script por uno diseñado para atacar a sus usuarios. “En el caso de algunos que tenían el sitio abierto durante un breve intervalo ayer por la tarde, el script aprovechó su sesión activa para vender posiciones y retirar fondos de sus billeteras. El proveedor ha confirmado públicamente que su sistema fue vulnerado”, indicó.
Desde el primer momento, la empresa confirmó el incidente de ciberseguridad, al señalar que había identificado y solucionado el problema que afectaba a su plataforma internacional (polymarket.com).
“Uno de nuestros proveedores externos se vio comprometido, por lo que hemos remitido el asunto a las autoridades competentes. Todos los usuarios afectados serán resarcidos. Por precaución, hemos suspendido temporalmente las operaciones y estamos trabajando para restablecer el funcionamiento de la plataforma”, informó el 29 de octubre a través de su página de estatus.
Índice de temas
Medidas de contención y respuesta postmortem
Inicialmente, Polymarket configuró su plataforma en un modo que solo permitía la cancelación de órdenes a las 12:05 horas (tiempo de la Ciudad de México) y pausó las acciones de los intermediarios (relayers) mientras investigaba lo ocurrido.
A las 12:37, la compañía anunció que el problema se había resuelto, pero que la suspensión de las operaciones se mantenía por motivos de precaución. Las operaciones se reanudaron aproximadamente una hora después de la suspensión inicial, y el incidente de ciberseguridad se dio por resuelto a las 13:05 (GMT-6).
“La plataforma vuelve a estar plenamente operativa. Nos aseguraremos de corregir la situación y reembolsaremos la totalidad de los fondos a todos los usuarios afectados”, anunció la empresa en X.
En su reporte un día después del ataque, Polymarket aseguró que eliminó el script comprometido del proveedor y borró todas las memorias caché. Además, suspendió las operaciones y el sistema de retransmisión (relayer) para evitar más extracciones de fondos, y reactivó el servicio una vez que el sitio estuvo limpio.
Otras acciones fueron el cierre de todas las sesiones de inicio de sesión activas, la implementación nuevamente de scripts de terceros con controles de integridad adicionales, además de un monitoreo y verificación continuos.
Por ejemplo, explicó, mediante una política de seguridad de contenido (CSP) más estricta, la fijación explícita de versiones, el uso de entornos aislados o sandboxing, etcétera.
Aunque señaló que colabora con las autoridades, informó que, al mismo tiempo, lleva a cabo su propia investigación sobre el autor de la amenaza.
Código JavaScript malicioso utilizado para vaciar billeteras
Los investigadores de seguridad de Hudson Rock identificaron una billetera (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18), presuntamente controlada por los atacantes, integrada en el código JavaScript malicioso.
Distribuido a través de cdn.debugbear[.]com/C7xcKKrjUnX.js, el código está diseñado para robar criptomonedas y activos en mercados de predicción pertenecientes a usuarios de Polymarket, reveló una publicación de blog de InfoStealers, el sitio público de investigación de la firma de inteligencia sobre ciberdelincuencia especializada en infecciones de robo de información y brechas de seguridad.
El script estaba alojado en infraestructura de DebugBear, un servicio de monitoreo del rendimiento de sitios web que utiliza código JavaScript para recopilar métricas desde los navegadores de los visitantes.
DebugBear confirmó que investigaba un incidente de ciberseguridad en curso y advirtió a sus clientes que utilizan su servicio de Monitoreo de Usuarios Reales (RUM) que eliminen el código de integración de sus sitios web.
“Nos hemos visto afectados por un incidente de seguridad en curso. Si utiliza nuestro producto RUM, por favor, elimine el código de integración de su sitio web”, señaló DebugBear en una publicación en X.
Los investigadores de Hudson Rock también descubrieron metadatos de la versión de producción de Polymarket que incluían el mensaje de confirmación (commit): “chore(polymarket): remove debugbear rum script (#15337)”, lo que indica que la plataforma había eliminado la integración de monitoreo de DebugBear.
Dicha versión tenía una marca de tiempo del 29 de octubre a las 11:59, poco antes de que Polymarket anunciara públicamente el incidente.
Mecanismo del ataque y secuestro de sesiones
El sitio BleepingComputer analizó una copia del archivo JavaScript malicioso a través de VirusTotal y determinó que estaba diseñado para secuestrar sesiones autenticadas en Polymarket, liquidar las posiciones de los usuarios en los mercados de predicción y transferir criptomonedas y otros activos a una billetera controlada por el atacante.
El malware verificaba si el visitante había iniciado sesión en Polymarket y utilizaba su sesión activa, así como las funcionalidades transaccionales de la plataforma, para realizar operaciones no autorizadas. Después consultaba sus saldos de criptomonedas y posiciones en los mercados de predicción para determinar el valor de sus activos.
Dependiendo del método de autenticación utilizado en Polymarket, el código intentaba sustraer los fondos de distintas maneras.
Trazabilidad en blockchain y monto de la brecha
Hasta antes de que Polymarket diera a conocer la cifra del reembolso, al menos $2 mdd en activos se habían rastreado hasta el 29 de octubre en una billetera que, al parecer, pertenece a los atacantes.
De acuerdo con Hudson Rock, la billetera contenía aproximadamente $2.19 mdd en criptomonedas.
Por su parte, BleepingComputer descubrió que se transfirieron aproximadamente 28.6 millones de tokens POL —valorados en cerca de $2.57 mdd— a otras tres billeteras, tras analizar la actividad de dicha billetera en la cadena de bloques (blockchain).
Los registros de la cadena de bloques también muestran que, entre las 11:50 y las 11:56 (GMT-6), la billetera realizó numerosas transacciones relacionadas con el contrato de tokens de la plataforma de mercados de predicción de Polymarket, poco antes de que la plataforma suspendiera las operaciones.
Sobre los reembolsos, Polymarket indicó que no es necesario presentar reclamaciones ni abrir tickets. “Hemos identificado las billeteras elegibles a partir de los datos de la cadena de bloques (on-chain) y de la actividad de trading”.
