NoticiasNews

Polymarket pierde 2,7 millones por un script de terceros secuestrado: qué revisar en sus portales de clientesPolymarket loses $2.7 million to a hijacked third-party script: what to review on your customer portals

2026-11-02

El 29 de octubre de 2026, código malicioso en el sitio de Polymarket drenó unos 2,7 millones de dólares de 726 billeteras de traders. Según el reporte publicado el 1 de noviembre por The Hacker News, el atacante no entró a los servidores de la plataforma: reemplazó un script de medición de rendimiento que Polymarket cargaba desde DebugBear, un proveedor externo. DebugBear indicó que los registros DNS de su dominio fueron comprometidos a través del registrador, y que solo la copia del script de Polymarket fue sustituida.

Cómo funcionó el ataque

El código se ejecutó dentro de la página de usuarios que ya tenían sesión iniciada. Leyó datos guardados en el navegador, incluidas claves de API de trading, localizó el flujo de órdenes y movió posiciones y fondos hacia la billetera del atacante. Polymarket retiró el script en menos de una hora, limpió cachés, reinició sesiones activas y pausó las operaciones. La empresa reembolsa a las cuentas afectadas y refirió el caso a las autoridades.

Qué recomiendan los especialistas

  • No cargar código de terceros en páginas donde el usuario firma operaciones o ve datos sensibles.
  • Usar Subresource Integrity (SRI) para que el navegador rechace archivos cuyo contenido cambió.
  • Entender que permitir un CDN en la política de seguridad de contenido no verifica lo que ese CDN sirve.
  • Revisar qué código de una página con sesión puede pedir acciones al usuario.

Por qué importa a equipos de soporte y atención

Los portales de clientes, widgets de chat, formularios de tickets y páginas de consulta de turnos suelen incluir scripts de analítica, medición o mensajería de terceros. Un cambio en uno de ellos puede convertirse en un incidente en la página donde el cliente tiene su sesión. Conviene inventariar cada script externo, fijar versiones, aplicar SRI y definir quién responde si el proveedor falla.

Cuando algo así ocurre, lo que reduce el daño es tener ordenado el proceso de respuesta: quién recibe los reportes de clientes, cómo se registran como tickets con prioridad y SLA, y cómo se comunica el avance. Servigo365 ayuda a centralizar tickets, historial y atención multicanal con tiempos de respuesta medibles, y Nexturno ordena turnos, colas y citas en sucursal con métricas de espera, para que un incidente en el canal digital no desborde la atención presencial. Fuente: The Hacker News (1 de noviembre de 2026).

On October 29, 2026, malicious code on Polymarket's website drained about $2.7 million from 726 traders' wallets. According to The Hacker News report published on November 1, the attacker did not breach the platform's servers: they swapped a page-speed script that Polymarket loaded from DebugBear, an outside vendor. DebugBear said its domain's DNS records were compromised through its registrar, and that only Polymarket's copy of the script was replaced.

How the attack worked

The code ran inside the page of users who were already signed in. It read data stored in the browser, including trading API keys, located the order flow, and moved positions and funds to the attacker's wallet. Polymarket removed the script within the hour, cleared caches, reset active sessions and paused trading. The company is refunding affected accounts and referred the case to law enforcement.

What specialists recommend

  • Keep third-party code off pages where users sign transactions or see sensitive data.
  • Use Subresource Integrity (SRI) so the browser rejects files whose contents changed.
  • Remember that allowing a CDN in a content security policy does not verify what that CDN serves.
  • Review which code on a signed-in page can ask the user to act.

Why it matters for support and service teams

Customer portals, chat widgets, ticket forms and appointment-lookup pages often include third-party analytics, measurement or messaging scripts. A change in one of them can become an incident on the page where the customer is signed in. Inventory every external script, pin versions, apply SRI and define who responds when a vendor fails.

When something like this happens, what limits the damage is an orderly response process: who receives customer reports, how they are logged as tickets with priority and SLA, and how progress is communicated. Servigo365 helps centralize tickets, history and multichannel service with measurable response times, and Nexturno organizes queues, turns and appointments at branches with wait-time metrics, so an incident in the digital channel does not overwhelm in-person service. Source: The Hacker News (November 1, 2026).

← Volver al blog← Back to blog