Para: personas que usan Polymarket y personas que gestionan sitios web que cargan scripts de servicios externos. Este artículo se basa en la página de estado oficial de Polymarket y en informes de prensa, y no describe cómo llevar a cabo un ataque de este tipo.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 31 de octubre de 2026Aún no se sabe
- Importe oficial de la pérdida
- Número de usuarios afectados
- Cómo funcionará el reembolso
- Cómo se comprometió al tercero
La página de estado de Polymarket marcó el incidente como resuelto el 29 de octubre. No ha publicado un informe de seguimiento que hayamos podido encontrar el 31 de octubre. Según se informa, el proveedor dijo a sus propios clientes que eliminaran su script.
Qué deben hacer hoy los usuarios
Revise su cuenta en el sitio oficial
Abra Polymarket escribiendo usted mismo la dirección (no desde un enlace de un mensaje) y revise sus posiciones, saldos y actividad reciente del 29 de octubre. Si algo no coincide con lo que hizo, contacte con Polymarket por el canal de soporte que figura en su sitio oficial.
No actúe según mensajes de reembolso
La página de estado de Polymarket dice que se compensará a los usuarios afectados, pero no da ningún proceso de reclamación. Los estafadores suelen aprovechar momentos como este. No haga clic en enlaces de correos, mensajes directos o respuestas, no conecte su cartera a un sitio nuevo y no firme nada para «reclamar» fondos. Espere a un anuncio en el sitio oficial o en la página de estado.
No comparta nunca su frase de recuperación ni su clave privada
Ningún equipo de soporte legítimo las necesita. Esto vale tanto si el mensaje menciona a Polymarket como si no (¿Qué es el phishing?).
Tómelo como motivo para revisar su propia exposición
Este sitio no da asesoramiento financiero. En general, los fondos que no necesita en una plataforma de negociación están más seguros en otro lugar, y que una plataforma compense a los usuarios no elimina el riesgo de que su próximo inicio de sesión sea objetivo de una estafa. La reutilización de contraseñas entre servicios es otro riesgo distinto (cómo comprobar si su contraseña se filtró).
Qué pasó (según Polymarket y la prensa)
Las horas oficiales siguientes proceden de la página de estado de Polymarket, convertidas de UTC a hora del Este (la página indica UTC). Las horas marcadas como prensa proceden de informes de prensa sobre el análisis de una empresa de investigación de seguridad, no de Polymarket.
29 de octubre de 2026, 13:50–13:56 ET (prensa)
La propia revisión de BleepingComputer de la actividad en la blockchain muestra transacciones de una presunta cartera del atacante relacionadas con un contrato de token de un mercado de predicción entre las 13:50 y las 13:56 ET.13:59 ET (prensa)
Informes de prensa, citando a una empresa de investigación de seguridad, indican que una compilación de producción de Polymarket con esta marca de tiempo eliminó la integración de monitorización de terceros.14:05 ET (Polymarket)
Página de estado: el exchange pasa al modo de solo cancelación y se pausan las acciones del relayer mientras se investiga.14:37 ET (Polymarket)
Página de estado: problema identificado y corregido; un proveedor externo fue comprometido; remitido a las fuerzas del orden; se resarcirá a todos los afectados; operaciones detenidas temporalmente por precaución.Hacia las 15:00 ET (Polymarket)
Se esperaba que se reanudaran las operaciones; la página de estado marcó el incidente como resuelto a las 15:05 ET. La prensa dice que las operaciones se reanudaron aproximadamente una hora después de la detención.
- Servicio
- Polymarket.com, la plataforma internacional. La prensa informa de que la plataforma de EE. UU. no se vio afectada; la página de Polymarket nombra solo la plataforma internacional
- Qué dice Polymarket
- Un proveedor externo fue comprometido; el problema se identificó y se corrigió; remitido a las fuerzas del orden; se compensará a los usuarios afectados
- Qué informa la prensa (no Polymarket)
- El proveedor es un servicio de monitorización del rendimiento de sitios web cuyo script se cargaba en las páginas de Polymarket. Comportamiento descrito: actuaba sobre las cuentas de usuarios con la sesión iniciada, vendiendo sus posiciones o moviendo tokens de posición a una dirección elegida por el atacante. Una empresa de investigación (según SecurityWeek) dijo que no encontró código que enviara credenciales, contraseñas, frases de recuperación ni claves privadas al atacante; según se informa, el script reutilizaba sobre todo los derechos de la sesión iniciada
- Importe
- No divulgado por Polymarket. La prensa y empresas de análisis rastrearon unos 2,2 a 2,7 millones de dólares hasta presuntas carteras. La cifra más baja es el número de una empresa de investigación para los fondos de una cartera, que según SecurityWeek no es un recuento verificado. Según la opinión de una empresa de análisis recogida por SecurityWeek, el número de direcciones no equivale al número de víctimas
- Respuesta del proveedor
- La prensa informa de que el proveedor confirmó un incidente de seguridad y dijo a sus clientes que eliminaran su script
Qué se sabe y qué no
Situación a fecha del 31 de octubre de 2026.
| Elemento | Qué se dice | Estado |
|---|---|---|
| Proveedor externo comprometido | Página de estado de Polymarket, 29 de octubre | Confirmado (Polymarket) |
| Operaciones detenidas y reanudadas | Detenidas temporalmente a las 14:37 ET; resuelto a las 15:05 ET | Confirmado (Polymarket) |
| Remisión a las fuerzas del orden | Indicada en la página de estado | Confirmado (Polymarket) |
| Usuarios a compensar | «Se compensará a los usuarios afectados» | Confirmado (Polymarket), detalles no divulgados |
| Tipo de proveedor | Servicio de monitorización del rendimiento de sitios web | Informes de prensa (dos medios) |
| Comportamiento del script | Vendía o movía las posiciones de usuarios con sesión iniciada | Informes de prensa, análisis de una empresa de investigación |
| Importe | Se rastrearon unos 2,2 a 2,7 millones de dólares | Estimación de la prensa, sin cifra oficial |
| Número de usuarios afectados | No indicado | No divulgado |
| Cómo se comprometió al proveedor | No indicado | En investigación (según la prensa) |
| Contraseñas o frases de recuperación sustraídas | Una empresa de investigación no encontró código que las enviara fuera | Hallazgo de un tercero; no confirmado por Polymarket |
Por qué un script de terceros es un riesgo en una página con sesión iniciada
Un script que un sitio web carga desde un servicio externo se ejecuta con el mismo acceso que el código propio del sitio. En general, en una página donde el usuario tiene la sesión iniciada, un script así puede ver lo que ve el usuario y actuar con la sesión que el usuario ya tiene. Por eso un compromiso en el proveedor externo puede llegar a los usuarios del sitio sin que se vulneren los servidores del propio sitio. Es la razón general, no un detalle adicional sobre este incidente.
Dos rasgos de este caso destacan en el registro público. El script del proveedor afectado era una herramienta de monitorización, que muchos sitios añaden para obtener datos de rendimiento y que se ejecuta en cada página. Y, según la prensa, una compilación de Polymarket que eliminaba la integración tiene una marca de tiempo unos 10 minutos posterior a las primeras transacciones sospechosas, lo que muestra con qué rapidez puede acabar la exposición cuando un sitio puede desactivar el script.
Para los operadores de sitios: tres comprobaciones a partir de lo público
Polymarket no ha publicado una causa, así que esta sección no juzga sus medidas. Usa solo los hechos anteriores.
Haga una lista de todos los scripts externos en las páginas donde los usuarios tienen la sesión iniciada
Incluya analítica, monitorización, widgets de chat y gestores de etiquetas. De cada uno, anote quién es su propietario, por qué está ahí y quién puede desactivarlo. Elimine los que no necesite, sobre todo en páginas que mueven dinero o cambian ajustes de la cuenta. Véase las cabeceras de seguridad que siguen importando.
Limite lo que pueden hacer los scripts externos
Una política de seguridad de contenido puede restringir desde dónde se cargan los scripts y a dónde pueden enviar datos. Las comprobaciones de integridad de subrecursos ayudan cuando un script se sirve como un archivo fijo, pero no cuando el proveedor cambia legítimamente el archivo; por eso, para las páginas de mayor riesgo, considere servir el script desde su propio dominio tras revisarlo, o no cargarlo en absoluto.
No deje que una sesión sola autorice acciones de alto valor
Exija una confirmación nueva (una solicitud de firma, un segundo factor o una demora con notificación) para ventas, retiradas y cambios de dirección. Así, un script que solo puede usar la sesión existente no podrá completarlas en silencio.
La opinión de este sitio: los primeros minutos son los más importantes
Según la prensa, una compilación que eliminaba la integración se hizo unos 10 minutos después de las primeras transacciones sospechosas. Mantener una forma documentada de desactivar rápidamente cualquier script externo, y una alerta ante patrones de transacciones inusuales, es lo que convierte un incidente largo en uno corto.
El script de un proveedor externo fue comprometido
↓→
¿Qué scripts externos se cargan donde los usuarios tienen la sesión iniciada?
El script actuó a través de sesiones iniciadas (prensa)
↓→
¿Las acciones de alto valor necesitan una confirmación nueva?
Compilación que lo eliminó unos 10 minutos después (prensa)
↓→
¿Puede desactivar rápidamente cualquier script externo?
Fuentes (registro público)
- Página de estado de Polymarket, «Polymarket exchange disruption» (29 de octubre de 2026) — status.polymarket.com
- BleepingComputer, «Polymarket halts trading after crypto-draining script breach, $2.5M traced» (octubre de 2026) — bleepingcomputer.com
- SecurityWeek, «$2 million drained from Polymarket traders in new supply chain attack» (30 de octubre de 2026) — securityweek.com
Los informes de prensa se usan para el tipo de proveedor, el comportamiento descrito del script y los importes, y están marcados como tales más arriba. La prensa también cita la declaración de la empresa; nos basamos en la página de estado para la redacción oficial.
Historial de actualizaciones
2026-10-31: Primera versión, basada en la página de estado de Polymarket y en dos informes de prensa. Actualizaremos este artículo cuando Polymarket publique una cifra de pérdidas, un proceso de reembolso o una causa.
Leer a continuación
- El mismo tipo de incidente: Posible filtración de datos de tarjetas en la tienda online APORITO (RIZAP)
- Robo de criptoactivos: Robo de criptoactivos en Bitget
- Otros incidentes de 2026: Filtraciones de datos y ciberataques en 2026