✨︎ Resumen (TL;DR):
- Polymarket devolverá 3.9 millones de dólares: 2.7 millones corresponden a fondos sustraídos y 1.2 millones a pérdidas ligadas a la pausa de operaciones.
- El 30 de octubre, la empresa informó que había reembolsado 689 de 726 billeteras; las 37 restantes seguían en verificación y pago.
- El atacante sustituyó un script de terceros y aprovechó sesiones abiertas para vender posiciones y retirar fondos de algunas billeteras.
Polymarket devolverá 3.9 millones de dólares a usuarios afectados por el ataque del 29 de octubre en su plataforma internacional. El monto incluye 2.7 millones de dólares vinculados con fondos sustraídos y otros 1.2 millones para cubrir pérdidas relacionadas con la pausa de operaciones. La empresa había suspendido el servicio durante aproximadamente una hora antes de reanudarlo.
El reembolso separa los fondos sustraídos de la pausa
La cifra total combina dos conceptos. Polymarket asignó 2.7 millones de dólares a los fondos sustraídos y 1.2 millones a las pérdidas vinculadas con la interrupción de operaciones. La empresa prometió la compensación cuando reanudó su servicio internacional.
El 30 de octubre, la plataforma informó que había reembolsado íntegramente a 689 de las 726 billeteras afectadas por el ataque. Polymarket todavía verificaba y pagaba las 37 restantes. Ese corte describe el estado de los reembolsos en esa fecha, no confirma que el proceso ya haya terminado.
En una publicación, la empresa calculó en 1.19 millones de dólares la compensación adicional para unas 5,500 billeteras de usuarios que sufrieron pérdidas durante la pausa o cuyas posiciones fueron tomadas. En su informe posterior, redondeó esa parte a 1.2 millones.
Las 5,500 billeteras corresponden a ese esquema más amplio de compensación y no deben confundirse con las 726 identificadas como afectadas directamente por el ataque.
El ataque pasó por un script de terceros
Un script de terceros es un código externo que una plataforma carga desde un proveedor para ejecutar funciones dentro del sitio. De acuerdo con la investigación de Hudson Rock y la cobertura de The Hacker News, el script sustituido provenía de DebugBear, proveedor de una herramienta para medir el rendimiento de sitios web.
Polymarket explicó que el atacante reemplazó ese archivo por otro diseñado para sus usuarios. Durante un intervalo breve, aprovechó sesiones abiertas para vender posiciones y retirar fondos de algunas billeteras.
Hudson Rock examinó una copia del archivo sin ejecutarla y encontró que buscaba funciones de la plataforma relacionadas con las operaciones y la firma de transacciones. El análisis advirtió que el código, por sí solo, no permite saber si una persona vio una solicitud de firma. Esa posibilidad también depende de la billetera y de las reglas aplicadas a la sesión.
DebugBear investigó el compromiso de sus registros DNS
DebugBear informó después que sus registros DNS habían sido comprometidos a través de su registrador de dominios. La investigación inicial de la compañía apuntaba al sitio de un cliente específico y no había encontrado indicios de una intrusión en sus sistemas internos.
La investigación continuaba. El reporte de DebugBear no establecía que sus sistemas internos hubieran sido vulnerados.
Polymarket retiró el script y reinició sesiones
La plataforma retiró el script, limpió sus cachés y reinició las sesiones activas. Antes de reabrir el servicio, también pausó las operaciones y los mecanismos que envían transacciones. Polymarket remitió el caso a las autoridades, según la empresa.
Gareth Bowker, responsable de seguridad de la información de Jscrambler, explicó a Hackread que una política de seguridad que permite el dominio de un proveedor puede dejar pasar comunicaciones hacia ese mismo dominio aunque el código sea malicioso.
También señaló que las comprobaciones estáticas de integridad tienen límites cuando los scripts se actualizan con frecuencia. Como alternativa, planteó vigilar lo que hacen durante su ejecución.
Polymarket dijo que añadirá controles de integridad y monitoreo continuo cuando vuelva a desplegar scripts de terceros.
El anuncio cubre los fondos sustraídos y las pérdidas de la pausa, pero el corte del 30 de octubre todavía dejaba 37 billeteras en verificación y pago. La investigación sobre el compromiso de los registros DNS de DebugBear también seguía abierta.
