El robo a Polymarket no entró por la puerta grande. Entró por un script de DebugBear, un fragmento de código de monitoreo que la plataforma cargaba en su propia página, y con las sesiones abiertas de los usuarios vació cuentas durante la tarde del 29 de octubre. La plataforma internacional paró las operaciones cerca de una hora y prometió devolver el dinero a cada afectado.
Polymarket es un mercado de predicciones: la gente apuesta dinero a resultados de elecciones, deportes o economía, y opera con una cuenta conectada a su billetera de criptomonedas. Ese detalle importa. El código alterado no pidió contraseñas ni frases semilla. Trabajó con la sesión ya iniciada, con los permisos que el propio usuario tenía abiertos en su navegador.
Una pausa de una hora y un proveedor sin nombre oficial
Los reportes de retiros no autorizados llegaron primero de los propios usuarios. Polymarket respondió pasando su plataforma internacional a modo de solo cancelación: nadie podía abrir operaciones nuevas y las acciones del relé quedaron suspendidas. El relé es el servicio que envía a la cadena de bloques las transacciones firmadas por los operadores.
Las operaciones volvieron cerca de una hora después. La empresa informó que uno de sus proveedores externos quedó comprometido, que el caso pasó a las autoridades y que toda persona afectada recuperará su dinero. Dos silencios quedaron en ese mensaje: Polymarket no nombró al proveedor y no publicó una cifra oficial de pérdidas.
El nombre salió del lado de los investigadores. Datos de Hudson Rock, GoPlus y Arkham apuntan a DebugBear, una firma británica de monitoreo de rendimiento web. Su producto de monitoreo de usuarios reales funciona con un fragmento de JavaScript que cada sitio cliente pega en sus páginas para medir tiempos de carga y errores. DebugBear confirmó que sufre un incidente de seguridad en curso, pidió a los clientes de ese producto retirar el fragmento de sus sitios y contrató especialistas para atender el caso.
El script buscaba sesiones abiertas, no claves privadas
Hudson Rock obtuvo una copia del JavaScript malicioso servido desde una dirección de DebugBear usada por Polymarket. El código revisaba las herramientas de operación y el portafolio del usuario con la sesión iniciada. Con esos datos actuaba de dos maneras, atado al tipo de cuenta: vender las posiciones y mover el dinero cobrado, o enviar los tokens de posición directo a una dirección fijada por el atacante.
La firma aclara un punto que cambia la lectura del robo a Polymarket. El código leía material relacionado con credenciales, pero su revisión no halló una rutina que enviara el mapa de credenciales, una contraseña, una frase semilla o una clave privada a su punto de reporte. La técnica fue otra: reutilizar la autoridad que la aplicación ya le concede a una sesión autenticada. Dicho llano, el ladrón no robó la llave. Se sentó en la silla que el usuario dejó abierta.
Ese patrón de entrar por el código de otro ya dejó estragos este mes en el mundo del software, como muestra el gusano que se coló en 42 repositorios de GitHub con carga oculta. Un fragmento de un proveedor corre con los mismos permisos de la página que lo carga. Si ese fragmento cambia de manos, cambia de manos la página entera.
Las cifras del daño todavía no cierran
El dinero perdido se mueve entre tres mediciones. Una captura revisada por Hudson Rock muestra unos US$2,19 millones en la dirección de respaldo escrita dentro del propio código, y la firma advierte que ese número no es un total verificado. GoPlus, que también atribuye el ataque al script de monitoreo de DebugBear, calcula pérdidas cercanas a US$2,71 millones y ubica la ruta principal del dinero en 710 billeteras de depósito y 731 direcciones, con la salvedad de que el conteo de direcciones no equivale al número de víctimas. Arkham, por su parte, ubicó unos US$2,65 millones en una billetera atribuida al atacante, la misma dirección fijada en el código como destino de respaldo.
Hudson Rock también detectó una versión de producción de Polymarket con marca de las 17:59 UTC y una nota de cambio sobre retirar el script de DebugBear, rastro de la limpieza en caliente. La plataforma de Estados Unidos, al parecer, quedó fuera del golpe. Y quedan dos huecos abiertos: nadie ha explicado cómo se alteró el script en origen y no hay conteo confirmado de usuarios afectados. La firma tampoco halló indicios de que otros clientes de DebugBear fueran blanco del mismo código.
Para Polymarket es la segunda herida del mismo tipo en cuatro meses. En junio, otro proveedor comprometido inyectó un script malicioso en su interfaz y las pérdidas rondaron los US$3 millones, un antecedente que la propia compañía divulgó en su momento. La promesa de reembolso total cubre a los afectados de este nuevo caso, pero la empresa aún no dice cómo ni cuándo pagará, y la cifra oficial del daño sigue sin aparecer.
Fuente: SecurityWeek
