Polymarket establece un plan de reembolso de 3,9 millones de dólares tras la violación de un script de terceros

Resumen: Polymarket informa que su incidente del 29 de octubre involucró un script de monitoreo comprometido. Su actualización del 30 de octubre fijó el total de reembolsos en 3,9 millones de dólares, incluyendo pérdidas relacionadas con la pausa en el comercio.

Polymarket ha publicado un relato más detallado sobre la violación de terceros que interrumpió su plataforma internacional el 29 de octubre. La actualización cambia el enfoque de si el comercio se había reabierto a cómo funcionó el ataque y cómo se compensaría a los clientes.

La explicación de la empresa también es un recordatorio de que una aplicación en cadena puede depender de componentes de sitios web fuera de la cadena que tienen acceso a sesiones de usuario activas.

La cifra de reembolso incluye más que fondos drenados

En su análisis del 30 de octubre, Polymarket dijo que estaba devolviendo 3,9 millones de dólares: 2,7 millones de dólares asociados con el ataque y otros 1,2 millones de dólares por pérdidas relacionadas con la pausa. Informó que el 95% de las billeteras afectadas habían sido reembolsadas en su totalidad hasta esa tarde.

La empresa dijo que un script de monitoreo de rendimiento comprometido utilizó algunas sesiones activas para vender posiciones y mover fondos. Su respuesta incluyó eliminar el script, limpiar cachés, restablecer sesiones y detener temporalmente la actividad de comercio y retransmisión.

La cifra del 95% es un informe de la empresa con fecha. No debe presentarse como una tasa de finalización de reembolsos en vivo o como prueba de que cada cantidad disputada por los clientes ha sido resuelta.

El código del sitio web puede convertirse en parte del límite financiero

Un script de terceros se ejecuta porque un sitio web elige cargarlo. Dependiendo de sus permisos y entorno de ejecución, ese script puede interactuar con partes de la página y la sesión del navegador que los usuarios asocian con la aplicación de confianza.

La documentación de Mozilla sobre la integridad de subrecursos describe una defensa: un navegador puede comparar un recurso descargado con un hash criptográfico esperado y rechazar contenido que no coincida. Ayuda a separar un archivo aprobado de un archivo modificado servido a través de la misma dirección.

Ese mecanismo es útil pero limitado. No decide si el código aprobado era seguro, y una aplicación aún necesita un proceso sólido para revisar actualizaciones y controlar qué recursos se permiten ejecutar.

Una pausa en el comercio puede crear una segunda categoría de pérdida

En un mercado vinculado a un resultado sensible al tiempo, detener las transacciones puede afectar a los usuarios incluso si su billetera nunca fue drenada directamente. Una posición podría liquidarse durante la interrupción, o su valor de mercado podría cambiar antes de que se reanude el comercio.

La compensación por esos efectos requiere un punto de referencia definido. Un operador necesita determinar la marca de tiempo relevante, el tamaño de la posición y el método de valoración, y luego aplicar el mismo enfoque de manera consistente. De lo contrario, un encabezado de reembolso puede ocultar desacuerdos sobre qué pérdidas están incluidas.

Esto es particularmente importante cuando las ventas forzadas interactúan con una liquidez escasa. La diferencia entre una cotización mostrada y un precio ejecutable puede volverse material precisamente cuando la plataforma está bajo estrés.

La prueba duradera es el sistema de control de reemplazo

Eliminar el archivo malicioso cierra la ruta inmediata descrita en el análisis posterior. La pregunta a largo plazo es cómo se verifican los cambios futuros en el código, qué privilegios retienen los scripts externos y qué tan rápido se detecta una actividad inusual.

Hay una jerarquía sensata aquí. Prevenir que un script innecesario llegue a una página sensible es diferente de detectar un comportamiento malo después de que ya ha comenzado. Ambos pueden ser útiles, pero no deben tratarse como protecciones intercambiables.

Los usuarios y contrapartes también se beneficiarán de una conciliación clara de los reembolsos completados y cualquier disputa restante. Un incidente puede resolverse operativamente mientras continúa el trabajo contable.

La actualización de Polymarket proporciona información concreta sobre esas tareas separadas. La próxima evaluación debe centrarse en los resultados de compensación verificados y la efectividad de los controles revisados, sin asumir que la liquidación en blockchain por sí sola protege a un usuario de cada componente de la aplicación utilizada para llegar a ella.

Escrito por la Redacción de Noticias y editado por Samuel Rae.