Imagen: https://x.com/TheBlock__/status/2003739551865475076
Polymarket confirma ataque por vulnerabilidad en autenticación de terceros, con robo de fondos de usuarios
A finales de diciembre de 2025, Polymarket, plataforma de mercados de predicción cripto, confirmó oficialmente un incidente de seguridad relacionado con un servicio externo de autenticación de identidad, que provocó el robo de activos de determinados usuarios. La plataforma subrayó que la brecha no fue causada por fallos en el protocolo principal de Polymarket ni en sus smart contracts. Los atacantes aprovecharon vulnerabilidades en un servicio de autenticación de terceros conectado, logrando controlar cuentas afectadas y transferir los fondos.
Antecedentes y comunicado oficial
Según el comunicado oficial de Polymarket, la brecha de seguridad se produjo durante el inicio de sesión y afectó principalmente a cuentas registradas o accedidas mediante servicios de autenticación de terceros, como el acceso rápido por correo electrónico. Varios usuarios reportaron que, incluso con autenticación en dos pasos (2FA) activada, sus saldos fueron vaciados en minutos.
Polymarket confirmó posteriormente que la vulnerabilidad había sido corregida y señaló que no existen indicios de riesgo de ataque activo. La plataforma aclaró que sus mecanismos principales de mercado, smart contracts y sistemas de liquidación no se vieron afectados; la brecha se debió a un fallo de seguridad en el proceso externo de verificación de identidad.
Método de ataque y posible mecanismo de vulnerabilidad
El análisis sectorial y la información pública indican que no se trató de un ataque de phishing convencional ni de usuarios revelando claves privadas. Los atacantes probablemente explotaron debilidades en el proceso de autenticación de terceros, eludiendo la verificación estándar para acceder a la wallet vinculada a las cuentas de usuario, incluso sin que los usuarios accedieran a enlaces maliciosos ni revelaran credenciales de correo electrónico.
Una vez obtenida la toma de control, los atacantes movieron rápidamente los activos a direcciones externas, empleando división de transacciones y técnicas de ofuscación en cadena para ocultar el flujo de fondos y provocar pérdidas reales.
Polymarket aún no ha revelado detalles técnicos sobre la vulnerabilidad ni el proveedor externo implicado. Sin embargo, el consenso sectorial apunta a que las soluciones de autenticación que externalizan la gestión de claves o la autorización de cuentas a terceros pueden generar riesgos sistémicos si esos componentes se ven comprometidos.
Comentarios de usuarios y respuesta comunitaria
Tras conocerse el incidente, los usuarios compartieron sus experiencias en plataformas comunitarias y redes sociales. Un usuario relató que, tras recibir una alerta de inicio de sesión anómalo y volver a acceder a Polymarket, encontró su saldo prácticamente vacío. Otro usuario indicó que no realizó ninguna acción de riesgo, solo utilizó el acceso por correo electrónico con 2FA activado, pero sus activos fueron transferidos en poco tiempo.
Estos casos generaron rápidamente debate en la comunidad. Muchos usuarios comenzaron a reconsiderar el equilibrio entre la “comodidad de acceso” y la “seguridad de los activos” en plataformas Web3. Algunos argumentaron que el incidente evidenció cómo los intentos de optimizar la experiencia de usuario en aplicaciones descentralizadas pueden exponer inadvertidamente vulnerabilidades en los límites de seguridad.
Respuesta de Polymarket y situación actual
Tras confirmar la brecha, Polymarket informó que parcheó inmediatamente la vulnerabilidad y contactó proactivamente a los usuarios afectados. La plataforma enfatizó que no se han detectado nuevas actividades sospechosas y el sistema permanece seguro.
La declaración oficial también confirmó que los smart contracts principales y la lógica de mercado no se vieron afectados. Por tanto, los usuarios que emplean wallets de autocustodia o acceden sin autenticación de terceros no estuvieron expuestos a este vector de ataque.
Hasta la fecha, Polymarket no ha revelado el número exacto de usuarios afectados ni la magnitud total de las pérdidas financieras.
Perspectiva sectorial: por qué la autenticación de terceros es un factor de alto riesgo
Desde una perspectiva más amplia, este evento subraya los riesgos estructurales que enfrentan las plataformas Web3 al depender de servicios externos de autenticación de identidad. Los accesos rápidos por correo electrónico y las autorizaciones con cuentas sociales facilitan la entrada, pero introducen nuevas superficies de ataque.
En Web2, los sistemas OAuth y el acceso social han enfrentado desafíos de seguridad durante años. En Web3, estos procesos de autenticación suelen estar directamente ligados a la creación de wallets, la gestión de claves o la autorización de transacciones. Cualquier vulnerabilidad puede provocar pérdidas directas de activos, no solo brechas de datos.
Lecciones de seguridad y recomendaciones de protección para usuarios
El incidente de Polymarket ofrece varias conclusiones clave de seguridad para titulares de criptoactivos:
- Utilice servicios de autenticación de terceros con cautela. Priorice wallets de autocustodia y soluciones independientes de gestión de claves.
- Implemente protección multinivel, como wallets hardware y autenticadores independientes.
- En plataformas de uso esporádico, transfiera los activos rápidamente a direcciones bajo control personal.
- Monitoree actualizaciones oficiales de proyectos, alertas de seguridad y comentarios de la comunidad para reaccionar ante posibles riesgos.
Conclusión
En resumen, el incidente de seguridad de Polymarket no comprometió la integridad de su protocolo principal, pero sí evidenció los riesgos sistémicos potenciales de la autenticación de identidad de terceros en el ecosistema Web3. A medida que la industria cripto continúa buscando crecimiento de usuarios y experiencias mejoradas, lograr el equilibrio adecuado entre usabilidad y seguridad de los activos será un reto constante para todas las plataformas.
