Los usuarios de Polymarket pierden casi 3 millones de dólares en un presunto ataque de phishing

El conocido analista de cadenas de bloques Specter informó hoy de una importante brecha de seguridad en Polymarket que robó hasta 2,94 millones de dólares de unas 11 cuentas en total.

Según Specter, los fondos robados se encontraban originalmente en PUSD (el token de garantía de Polymarket vinculado al dólar estadounidense), se intercambiaron por ETH y se enviaron a una dirección final. Si bien hasta el momento se han identificado 11 víctimasdentla cifra final podría aumentar a medida que los investigadores sigan tracmás transacciones.

¿Por qué siempre Polymarket?

Polymarket ha sufrido ataques de phishing e ingeniería social desde el año pasado. Cada uno explotó diferentes puntos de entrada, pero siguió el mismo patrón: engañar a los usuarios para que entregaran susdenty luego vaciar sus billeteras antes de que se dieran cuenta.

A principios de este mes, Josh Stevens, vicepresidente de ingeniería de Polymarket, habló sobre un caso en el que un usuario fue estafado por más de 2 millones de dólares. La víctima había introducido una contraseña de un solo uso en un sitio web falso que se parecía exactamente a Polymarket, lo que permitió al atacante comprometer la billetera Magic Link de la víctima (un sistema de inicio de sesión basado en correo electrónico) y vaciar sus fondos al instante. 

Stevens recalcó que, si bien el impacto fue enorme, la brecha de seguridad se produjo en un sitio web fraudulento y no se debió a un fallo en la plataforma de Polymarket.

Ese ataque se produjo después de que en mayo se perdieran 520.000 dólares deltracen Polygon. Según el investigador de la cadena de bloques ZachXBT, el ataque fue causado por una clave de despliegue comprometida.

La especulación sobre los airdrops podría estar alimentando la amenaza

El riesgo de phishing al que se enfrentan los usuarios de Polymarket se ve agravado por la creciente especulación en torno a un posible airdrop del token POLY. El 25 de junio, el usuario Tiptop de X señaló que Polymarket había actualizado discretamente su página de preguntas frecuentes, eliminando la información que anteriormente indicaba que la plataforma "no tiene un token" y borrando las referencias a la falta de planes para un airdrop o la generación de tokens.

El director de marketing de Polymarket, Matthew Modabber, confirmó los planes para el token y el airdrop en una entrevista en octubre de 2025, afirmando que el equipo quería crear "un token con verdadera utilidad, longevidad y que perdurara para siempre", según Cryptopolitan . Esta confirmación impulsó a los usuarios a ajustar su comportamiento de compraventa con la esperanza de poder optar a una futura distribución.

La expectación que rodea a los posibles airdrops facilita que los estafadores engañen a la gente con comprobadores de elegibilidad y páginas de reclamación falsas. 

Ha comenzado a circular en las redes sociales otra oleada de especulaciones sobre un posible airdrop, ya que perfiles de Web3 han informado de que Polymarket eliminó recientemente de su página de preguntas frecuentes la negación explícita de dicho airdrop. 

Polymarket se enfrenta a otros problemas de reputación

Los riesgos en la plataforma van más allá del phishing. El pasado diciembre, SlowMist descubrió en GitHub un bot de copy trading de Polymarket con código malicioso integrado, diseñado para robar y transmitir claves privadas a hackers.

Otra investigación llevada a cabo por StepSecurity en marzo también descubrió una organización de GitHub comprometida que estaba distribuyendo bots de trading falsos diseñados para comprometer las cuentas de los usuarios.

La plataforma también enfrenta problemas de reputación. Según una investigación del Wall Street Journal, Polymarket pagaba a personas influyentes entre 2000 y 3000 dólares mensuales para que publicaran videos guionizados que mostraban ganancias falsas en operaciones bursátiles. 

Al parecer, a los influencers se les indicó que ocultaran que estaban recibiendo un pago, e incluso se les ordenó regrabar los vídeos si no eran lo suficientemente interesantes. También se les instruyó para que hicieran que las ganancias ficticias parecieran experiencias reales y espontáneas.

En combinación con las campañas de phishing y el ecosistema de bots maliciosos, este patrón genera dudas sobre la seguridad del usuario en una plataforma donde el interés abierto del mercado de predicciones alcanzó recientemente un récord de 1.480 millones de dólares, según datos de a16z Crypto citados por Cryptopolitan.

Las mentes más brillantes del mundo de las criptomonedas ya leen nuestro boletín. ¿Te apuntas? ¡ Únete!