Polymarket suspende el trading tras el vaciado de fondos de usuarios

Polymarket, la plataforma de mercados de predicción descentralizados, ha interrumpido bruscamente todas sus operaciones de trading este jueves. El motivo: la vulneración de un proveedor externo que ha provocado el vaciado de fondos pertenecientes a sus usuarios.

Una alerta que recuerda una verdad demasiado ignorada en el ecosistema DeFi: incluso los protocolos descentralizados siguen expuestos a los eslabones débiles de su infraestructura centralizada.

Esto es lo que se sabe hasta ahora, y lo que este incidente revela sobre los riesgos sistémicos de las plataformas de predicción on-chain.

Un proveedor externo comprometido, el trading paralizado

Polymarket ha anunciado oficialmente la suspensión de su actividad de trading tras detectar una brecha de seguridad en uno de sus proveedores externos. La plataforma no ha revelado aún la identidad exacta de dicho proveedor, ni el importe total de los fondos afectados en el momento de la publicación.

Según la información disponible hasta el momento, los fondos de los usuarios habrían sido drenados directamente desde sus carteras conectadas a la plataforma. Este tipo de ataque, conocido habitualmente como «wallet drainer», explota por lo general las autorizaciones de contratos inteligentes concedidas por los usuarios durante sus interacciones con el protocolo.

La decisión de suspender el trading refleja una reacción rápida por parte del equipo. Sin embargo, también plantea preguntas legítimas sobre la dependencia de Polymarket de componentes de infraestructura de terceros — un vector de ataque clásico en el universo Web3, frecuentemente subestimado por los usuarios.

Polymarket en el punto de mira: un actor clave debilitado

Polymarket se había consolidado como la referencia mundial de los mercados de predicción descentralizados, especialmente durante las elecciones estadounidenses de 2024, cuando sus volúmenes alcanzaron niveles récord. La plataforma, construida sobre Polygon, permite a los usuarios apostar sobre el resultado de eventos reales —políticos, económicos, deportivos— utilizando stablecoins como el USDC.

Este incidente se produce en un contexto en el que la plataforma ya afrontaba presiones regulatorias en Estados Unidos. En octubre de 2024, la CFTC registró el domicilio de su CEO, Shayne Coplan, en el marco de una investigación sobre la oferta de productos derivados no registrados a ciudadanos estadounidenses.

La vulneración de un proveedor externo debilita aún más la reputación de una plataforma que hace de la transparencia y la descentralización sus principales argumentos. La confianza de los usuarios, una vez erosionada, es difícil de reconstruir — especialmente en un sector donde las alternativas no dejan de multiplicarse.

Lo que este incidente revela sobre los riesgos DeFi

El ataque contra Polymarket ilustra una tensión fundamental en el ecosistema DeFi: los protocolos se presentan como descentralizados, pero con frecuencia se apoyan en capas de infraestructura centralizada — oráculos, proveedores de carteras, servicios de autenticación — que constituyen otros tantos puntos únicos de fallo.

Para los usuarios, el reflejo de seguridad más importante sigue siendo la revocación periódica de los permisos de contratos concedidos a las dApps, mediante herramientas como Revoke.cash o DeBank. Una buena práctica demasiado descuidada, incluso entre perfiles experimentados.

Más allá de Polymarket, este incidente recuerda que el sector de los mercados de predicción — en plena expansión — no está exento de los riesgos clásicos del Web3. Protocolos competidores como Drift, Azuro u Overtime Markets también deberán demostrar su solidez frente a este tipo de vectores de ataque para ganarse la confianza de un mercado cada vez más exigente.