Un solo script malicioso expone la debilidad de las dependencias: Polymarket devuelve 3 millones tras un ataque a la cadena de suministro

Polymarket anunció que reembolsará en su totalidad a los clientes que perdieron aproximadamente 3 millones de dólares tras una intrusión que inyectó un script malicioso en el frontend de su web, resultado de un ataque a la cadena de suministro de un proveedor externo. Según la propia compañía, sus servidores y la lógica de backend no se vieron comprometidos; el vector fue una dependencia usada en la capa de presentación que permitió ejecutar código JavaScript hostil en navegadores de usuarios desprevenidos.

El mecanismo del fraude fue clásico en ataques a aplicaciones web que interactúan con billeteras cripto: el script malicioso generó solicitudes que inducían a usuarios a firmar transacciones y aprobaciones fatales desde sus wallets, permitiendo la extracción de fondos. Firmas de inteligencia en blockchain como PeckShield y análisis visuales como los publicados por Bubblemaps muestran la trazabilidad de los movimientos, la conversión de los activos robados y que el incidente afectó a un número reducido de cuentas.

Que la pérdida sea limitada a unas pocas cuentas no reduce la gravedad del fallo: los ataques a la cadena de suministro son especialmente peligrosos porque rompen la suposición de confianza entre un servicio y sus dependencias. En el ecosistema cripto, donde las autorizaciones en wallets equivalen a llaves de acceso a activos, un solo script malicioso puede transformar una visita informativa en una estafa irreversible.

Desde la perspectiva operativa, el incidente pone de manifiesto fallos habituales en la gestión de dependencias y en el control de recursos externos: ausencia de controles como Subresource Integrity (SRI) para scripts CDN, políticas de Content Security Policy (CSP) laxas, falta de whitelists para recursos de terceros y prácticas de revisión insuficientes en el pipeline de despliegue. Para plataformas que manejan volumen y confianza pública, estas carencias se traducen en riesgo reputacional y en presión regulatoria.

Para los usuarios afectados o en riesgo inmediato, actuar rápido reduce la exposición. Revocar aprobaciones excesivas desde gestores de tokens y herramientas de revocación públicas puede prevenir saqueos adicionales; una opción conocida es Revoke.cash, que permite inspeccionar y revocar permisos concedidos por tu wallet. También es recomendable desconectar sitios conectados, revisar el historial de transacciones y, si es posible, migrar activos a una wallet con llaves frías hasta que termine la investigación.

Para equipos de producto y seguridad de plataformas Web3, las lecciones son claras: minimizar la superficie de ataque en el frontend, auditar y fijar versiones de dependencias, aplicar SRI y CSP rigurosos, utilizar firmas de paquetes y builds reproducibles, y segregar el código de terceros en contextos de menor privilegio. Paralelamente, mantener programas de bug bounty y simulaciones de ataque a la cadena de suministro ayuda a detectar vectores que las pruebas unitarias no cubren.

La respuesta pública de Polymarket —y su decisión de reembolsar— es relevante desde el punto de vista de responsabilidad hacia usuarios, pero la comunidad y los reguladores también exigirán más transparencia técnica: ¿qué proveedor fue comprometido?, ¿había revisiones de integridad?, ¿qué mitigaciones se aplicarán para que no vuelva a ocurrir? Una comunicación clara y la publicación de un reporte forense aumentan la confianza y facilitan la cooperación con análisis onchain de terceros.

En el plano forense, los atacantes suelen usar puentes y swaps para mezclar y convertir fondos; en este caso PeckShield detectó puenteo desde Polygon hacia Ethereum y un swap a ETH. Aunque la trazabilidad pública de blockchain facilita rastrear flujos, recuperar activos depende de acciones coordinadas con exchanges, operadores de puentes y autoridades, y muchas veces resulta parcial o imposible si los fondos se fragmentan y se lavan rápido.

Finalmente, este incidente es un recordatorio de que en entornos donde el valor real se transfiere con una firma, la seguridad debe integrarse en cada eslabón de la cadena: desde el desarrollador del paquete hasta el navegador del usuario. Usuarios, operadores y proveedores de servicios deben asumir que las dependencias pueden fallar y diseñar barreras —técnicas, operativas y legales— que mitiguen el impacto cuando eso ocurra.