Aviso de seguridad de Polymarket: Cómo vaciar la cartera de usuarios debido a una vulnerabilidad en la certificación de terceros

La plataforma de mercado de predicción descentralizada Polymarket confirmó el 25 de diciembre que, debido a una vulnerabilidad de seguridad en el proveedor de servicios de autenticación de terceros, parte de los fondos de los usuarios fueron robados, y sus cuentas quedaron vacías. Los usuarios afectados principalmente se registraron a través de Magic Labs, un servicio que permite a los usuarios iniciar sesión con su correo electrónico y crear automáticamente una billetera de Ethereum no custodial.

Esta vulnerabilidad permitió eludir medidas de seguridad estándar como la autenticación de dos factores, generando una amplia preocupación en la comunidad sobre la seguridad de las integraciones de terceros en plataformas de criptomonedas.

01 Resumen del evento: Riesgos de activos expuestos por vulnerabilidades de terceros

El robo de activos en Polymarket no se debió a una vulnerabilidad en los contratos inteligentes principales de la plataforma, sino a una brecha de seguridad introducida por su proveedor de servicios de autenticación de terceros.

La plataforma afirmó en su canal oficial de Discord: “Recientemente identificamos y resolvimos un problema de seguridad que afectaba a unos pocos usuarios, causado por una vulnerabilidad en un proveedor de autenticación de terceros.”

Aunque la plataforma asegura que el problema ha sido solucionado y que no existe un riesgo continuo, el número exacto de usuarios afectados y la cantidad de fondos perdidos no han sido revelados, creando un vacío informativo que genera preocupación en la comunidad sobre la magnitud y gravedad real del incidente.

02 Proceso del ataque: reconstrucción de casos típicos de víctimas

Según informes en redes sociales, este incidente de seguridad presenta patrones claros.

Un usuario de Reddit describió su experiencia detalladamente: “Esta mañana, recibí 3 notificaciones de intentos de inicio de sesión en Polymarket — mi dispositivo no fue comprometido, Google no detectó actividades sospechosas, y todos los demás servicios funcionaban normalmente.”

Sin embargo, al ingresar a Polymarket para verificar, descubrió que todas las operaciones habían sido cerradas y que el saldo de su cuenta solo quedaba en 0.01 dólares, lo que indica que su billetera fue casi completamente vaciada.

Otro usuario reportó una experiencia similar, a pesar de no haber hecho clic en enlaces sospechosos y de tener habilitada la doble verificación en su correo electrónico, aún así no pudo evitar que los atacantes vaciaran sus fondos tras recibir notificaciones de tres intentos de inicio de sesión.

03 Grupo de víctimas: usuarios registrados en Magic Labs como principales objetivos

Los afectados por este incidente comparten un punto en común: la mayoría se registraron en Polymarket a través del servicio Magic Labs.

Magic Labs es un servicio de inicio de sesión de terceros diseñado para principiantes en criptomonedas, que permite a los usuarios acceder solo con su correo electrónico, y el sistema genera automáticamente una billetera de Ethereum no custodial en segundo plano. Este diseño reduce significativamente la barrera de entrada en el mundo cripto, pero también introduce nuevas superficies de ataque.

Parece que los atacantes han encontrado formas de evadir los mecanismos de verificación múltiple, no mediante técnicas tradicionales de phishing o malware en los dispositivos de los usuarios. Esto ha generado serias preocupaciones sobre la posibilidad de que los servicios de autenticación de terceros puedan convertirse en un punto único de fallo.

04 Respuesta de la plataforma: ambigüedad en la información genera más dudas

La respuesta de Polymarket ante el incidente mostró una tendencia a retener información, lo que generó más preguntas que respuestas.

Primero, la plataforma solo mencionó de manera vaga que “unos pocos usuarios” fueron afectados, sin ofrecer cifras concretas o porcentajes. Segundo, no divulgó el monto total de fondos robados, impidiendo que la comunidad evalúe la gravedad del evento. Tercero, Polymarket no especificó qué proveedor de servicios de terceros estuvo involucrado, aunque la comunidad especula que fue Magic Labs.

En cuanto a detalles técnicos, Polymarket afirmó que el problema “ya fue resuelto”, pero no explicó qué medidas específicas se tomaron para ello.

Algunos miembros de la comunidad señalaron que, tras el incidente, Polymarket parece haber aumentado la longitud de sus contraseñas de tres a seis dígitos, aunque la compañía no ha hecho declaraciones públicas al respecto.

05 Lecciones de seguridad: riesgos sistémicos en integraciones de terceros

Este no es el primer incidente de seguridad en Polymarket relacionado con servicios de terceros. En septiembre de 2024, varios usuarios que iniciaron sesión con cuentas de Google reportaron que sus fondos en USDC fueron transferidos a direcciones de phishing.

El mes pasado, una campaña de phishing en los comentarios de la plataforma provocó pérdidas superiores a 500,000 dólares. Estos eventos revelan un desafío común en las plataformas cripto: aunque los contratos inteligentes principales sean seguros, los servicios de terceros en los que confían también pueden convertirse en puntos débiles de seguridad.

Los análisis del sector indican que, cuando los usuarios dependen de infraestructuras de autenticación unificadas que no controlan directamente, las integraciones son especialmente vulnerables a ataques.

06 Recomendaciones para los usuarios: prácticas para proteger los activos

Para los usuarios de criptomonedas, el incidente en Polymarket ofrece importantes lecciones de seguridad.

La recomendación más directa es evitar usar opciones de inicio de sesión de terceros, y en su lugar, conectar la plataforma con una billetera controlada por la propia clave privada del usuario. Aunque esto aumenta la dificultad de uso, antes de que la plataforma demuestre que puede proteger la seguridad de las integraciones de terceros, es la mejor forma de garantizar la protección de los activos.

Los usuarios deben revisar periódicamente la actividad de sus cuentas, habilitar todas las funciones de seguridad disponibles y mantenerse alerta ante intentos de inicio de sesión sospechosos. Diversificar el almacenamiento de activos y no concentrar todos los fondos en una sola plataforma también es una estrategia razonable para reducir riesgos.

Dado que Polymarket planea migrar a Polygon y lanzar su propia red Layer 2 de Ethereum, los usuarios deben prestar especial atención a la seguridad de sus activos durante la transición.

Perspectivas futuras

Al 25 de diciembre, el volumen total de operaciones de Polymarket alcanzaba los 1,538 millones de dólares, con 419,309 usuarios activos mensuales. Cuando los usuarios se despertaron y encontraron que sus cuentas solo tenían 0.01 dólares, este incidente dejó de ser un simple fallo técnico y se convirtió en una seria interrogante sobre la seguridad de toda la infraestructura del ecosistema cripto.

La seguridad de los fondos de los usuarios siempre será un pilar fundamental en la operación de Gate. En un momento en que la industria cripto enfrenta desafíos de seguridad cada vez más complejos, Gate continúa fortaleciendo su infraestructura de seguridad, ofreciendo mecanismos de protección multiplataforma para los usuarios.