Polymarket: un script de un proveedor externo vació 726 carteras en una hora

Polymarket, una plataforma de mercados de predicción, sufrió el jueves 29 de octubre un robo que no vino de un fallo propio, sino de un código ajeno que su web cargaba. Es lo que se conoce como un ataque a la cadena de suministro.

Qué pasó

Según Bankless, un script de terceros de medición de velocidad de página fue sustituido por un código que se dedicaba a vaciar carteras. Durante aproximadamente una hora, aprovechó las sesiones iniciadas de los usuarios para mover o vender posiciones y retirar fondos. Se robaron unos 2,7 millones de dólares de 726 carteras. Los contratos de la plataforma no eran el problema.

Report URI sitúa el script en la red de distribución del proveedor DebugBear, y el registro de compilación de Polymarket muestra un componente de esa herramienta. Polymarket no ha nombrado públicamente al proveedor.

Qué ha hecho Polymarket

Pausó las operaciones y anunció devoluciones: unos 3,9 millones de dólares en total, que incluyen el dinero robado y 1,19 millones para unas 5.500 carteras que perdieron fondos durante la pausa o cuyas posiciones fueron tomadas. El viernes por la mañana, 689 de las 726 carteras ya estaban reembolsadas y las 37 restantes se pagaban según se verificaban.

Qué enseña a una web normal

Casi todas las webs cargan código de otros: analítica, chats, mapas, vídeos, botones sociales. Cada uno de esos scripts tiene el mismo poder que tu propio código dentro de la página. Si el proveedor sufre un ataque, el problema llega a tus visitantes.

• Carga solo lo necesario. Cada script externo que sobra es un riesgo gratis.
• Evita cargar herramientas de terceros en páginas donde el usuario introduce datos sensibles: pagos, accesos, formularios.
• Pide a quien mantiene tu web que use integridad de subrecursos (SRI) y una política de seguridad de contenido (CSP), que limitan qué código puede ejecutarse.
• Revisa de vez en cuando qué servicios externos carga tu web y si los sigues usando.