Una transacción de $0,1 puede hacer que los creadores de mercado de Polymarket lo pierdan todo

Autor: Frank, PANews

Una transacción en la cadena que cuesta menos de $0,1 puede borrar al instante del libro de órdenes de Polymarket órdenes de mercado por valor de decenas de miles de dólares. No es una deducción teórica, sino una realidad que está ocurriendo.

En 02/2026, un jugador reveló en redes sociales un nuevo tipo de ataque contra los creadores de mercado de Polymarket. El bloguero BuBBliK lo describió como "elegante & brutal", porque el atacante solo debe pagar menos de $0,1 en tarifas de gas en la red Polygon para completar un ciclo de ataque en unos 50 segundos. Las víctimas —esos creadores de mercado y bots de trading automatizado que colocan órdenes de compra y venta con dinero real en el libro de órdenes— reciben varios golpes: desde la eliminación forzada de órdenes y la exposición pasiva de posiciones hasta pérdidas directas.

PANews revisó una dirección de atacante señalada por la comunidad y descubrió que la cuenta se registró en 02/2026 y participó en operaciones en solo 7 mercados, pero obtuvo una ganancia total de $16.427, con las ganancias principales generadas en menos de un día. Cuando la base de liquidez de un líder de los mercados de predicción valorado en $9.000 M puede verse sacudida por unos cuantos centavos, el problema revela mucho más que una falla técnica.

PANews analizará a fondo los mecanismos técnicos, la lógica económica y los posibles efectos de este ataque en la industria de los mercados de predicción.

Cómo ocurre el ataque: una caza precisa que aprovecha la "diferencia horaria"

Para entender este ataque, primero hay que comprender el proceso de trading de Polymarket. A diferencia de la mayoría de los DEX, Polymarket utiliza una arquitectura híbrida de "emparejamiento off-chain + liquidación on-chain" para ofrecer una experiencia de usuario similar a la de los exchanges centralizados. Los usuarios colocan órdenes y estas se emparejan al instante off-chain; solo la liquidación final de los fondos se envía a la cadena Polygon para ejecutarse. Este diseño permite a los usuarios colocar órdenes sin pagar gas y operar al instante, pero también crea una "diferencia horaria" de unos segundos a más de diez segundos entre el proceso off-chain y el on-chain, que es precisamente lo que aprovecha el atacante.

La lógica del ataque no es complicada. Primero, el atacante coloca una orden de compra o venta normal mediante la API. En ese momento, el sistema off-chain verifica que la firma y el saldo estén en orden, y la orden se empareja con las de otros creadores de mercado en el libro de órdenes. Sin embargo, casi al mismo tiempo, el atacante inicia en la cadena una transferencia de USDC con una tarifa de gas extremadamente alta, que vacía todo el dinero de su wallet. Como la tarifa de gas supera ampliamente los valores predeterminados del relayer de la plataforma, la red confirma primero esta transacción de "vaciado". Cuando el relayer envía el resultado del emparejamiento a la cadena, la wallet del atacante ya está vacía y la transacción falla y se revierte por falta de fondos.

Si la historia terminara aquí, solo se habría desperdiciado un poco de gas del relayer. Pero el paso verdaderamente devastador es que, aunque la transacción falla on-chain, el sistema off-chain de Polymarket elimina por la fuerza del libro de órdenes todas las órdenes de creadores de mercado inocentes que participaron en ese emparejamiento fallido. En otras palabras, el atacante usa una transacción destinada a fallar para "eliminar con un clic" las órdenes de compra y venta que otros colocaron con dinero real.

Como analogía, es como hacer una oferta a gritos en una subasta y, justo cuando cae el martillo, darse la vuelta y decir "no tengo dinero", pero que la casa de subastas confisque las paletas de todos los demás postores que sí participan de buena fe, haciendo que la subasta fracase.

Cabe señalar que más tarde la comunidad descubrió una "versión mejorada" de este ataque, llamada "Ghost Fills". El atacante ya no necesita apresurarse a realizar la transferencia: después de que la orden se empareja off-chain y antes de la liquidación on-chain, llama directamente a la función de "cancelar todas las órdenes" del contrato, lo que invalida sus órdenes al instante y consigue el mismo efecto. Aún más astutamente, el atacante puede colocar órdenes en varios mercados al mismo tiempo, observar las tendencias de precios y conservar para su ejecución normal solo las órdenes favorables, mientras cancela las desfavorables con este método; en esencia, crea una opción gratuita para "ganar sin perder".

La "economía" del ataque: unos centavos de costo, $16.000 de ganancia

Además de eliminar directamente las órdenes de los creadores de mercado, esta desincronización entre el estado off-chain y el on-chain también se usa para atacar bots de trading automatizado. Según el monitoreo del equipo de seguridad GoPlus, entre los bots afectados están Negrisk, ClawdBots, MoltBot y otros.

Eliminar las órdenes de otras personas y crear "ejecuciones fantasma" no genera ganancias directas para el atacante. Entonces, ¿cómo gana dinero en realidad?

PANews descubrió que el atacante obtiene ganancias principalmente por dos vías.

La primera es "monopolizar la creación de mercado después de eliminar las órdenes". En condiciones normales, el libro de órdenes de un mercado de predicción popular tiene varios creadores de mercado compitiendo por las órdenes, y la diferencia entre el mejor precio de compra y el de venta suele ser muy estrecha. Por ejemplo, puede haber una orden de compra a $0,49 y una orden de venta a $0,51, y los creadores de mercado obtienen una pequeña ganancia del diferencial de $0,02. El atacante inicia repetidamente "transacciones destinadas a fallar" y elimina por la fuerza todas esas órdenes competidoras. En ese momento, el libro de órdenes queda vacío y el atacante coloca de inmediato sus propias órdenes de compra y venta, pero con un diferencial mucho más amplio: por ejemplo, una orden de compra a $0,40 y una de venta a $0,60. Los demás usuarios que necesitan operar, al no tener mejores cotizaciones, no tienen más remedio que aceptar ese precio, y el atacante se beneficia de ese "diferencial monopólico" de $0,20. El ciclo se repite: eliminar, monopolizar, ganar y volver a eliminar.

La segunda vía de ganancias es más directa: "cazar bots de cobertura". Veamos un ejemplo concreto: supongamos que el precio de "Sí" en un mercado es $0,50 y el atacante coloca mediante la API una orden de compra de "Sí" por $10.000 dirigida a un bot de creación de mercado. Después de que el sistema off-chain confirma el emparejamiento, la API le informa de inmediato al bot: "Vendiste 20,000 acciones de Sí". Al recibir la señal, el bot compra de inmediato 20,000 acciones de "No" en otro mercado relacionado para cubrir el riesgo y asegurar las ganancias. Pero entonces el atacante hace que la orden de compra de $10.000 falle y se revierta on-chain. Esto significa que el bot en realidad no vendió ninguna acción de "Sí", y la posición que creía cubierta ahora se convierte en una apuesta unilateral sin cobertura: solo tiene 20,000 acciones de "No" y no cuenta con una posición corta correspondiente que la proteja. El atacante puede entonces operar en el mercado, ganar cuando el bot se ve obligado a vender esas posiciones desprotegidas o arbitrar directamente a partir de la desviación de precios.

Desde el punto de vista del costo, cada ciclo de ataque requiere menos de $0,1 en tarifas de gas en la red Polygon y dura unos 50 segundos, lo que en teoría permite realizar unas 72 ejecuciones por hora. Un atacante creó un "sistema de ciclos con dos wallets" (Cycle A Hub y Cycle B Hub, que operan de forma alternada) para llevar a cabo ataques automatizados de alta frecuencia. Ya se han registrado cientos de transacciones fallidas on-chain.

Desde el punto de vista de las ganancias, una dirección de atacante señalada por la comunidad y revisada por PANews muestra que la cuenta se creó en 02/2026, participó en solo 7 mercados y aun así obtuvo una ganancia total de $16.427. La ganancia máxima en una sola operación llegó a $4.415, y las principales actividades rentables se concentraron en un periodo muy breve. En otras palabras, el atacante posiblemente aprovechó un costo total de gas inferior a $10 para generar más de $16.000 de ganancias en un día. Y esta es solo una dirección señalada; las direcciones que participaron realmente en el ataque y las ganancias totales podrían ser mucho mayores.

Para los creadores de mercado afectados, las pérdidas son aún más difíciles de cuantificar. Traders que operan bots para mercados de 5 minutos de BTC en la comunidad de Reddit reportaron pérdidas de "miles de dólares". El daño más profundo está en el costo de oportunidad de verse obligados a retirar órdenes con frecuencia y en los gastos operativos que supone tener que ajustar las estrategias de creación de mercado.

El problema más difícil es que esta vulnerabilidad radica en el diseño del mecanismo subyacente de Polymarket y no se puede solucionar a corto plazo. A medida que este método de ataque se hace público, ataques similares serán más comunes, lo que dañará aún más la liquidez, ya de por sí frágil, de Polymarket.

Autoprotección de la comunidad, advertencias y silencio de la plataforma

Hasta ahora, Polymarket no ha publicado una declaración detallada ni un plan de reparación sobre este ataque a las órdenes. Algunos usuarios también afirmaron en redes sociales que habían reportado este error varias veces meses atrás, pero nadie les prestó atención. Cabe mencionar que, anteriormente, Polymarket optó por no ofrecer reembolsos cuando enfrentó un incidente de "ataque de gobernanza" (manipulación de la votación de Oracle de UMA).

Ante la falta de medidas oficiales, la comunidad empezó a buscar sus propias soluciones. Un desarrollador de la comunidad creó por iniciativa propia una herramienta de monitoreo de código abierto llamada "Nonce Guard", que puede supervisar en tiempo real las operaciones de cancelación de órdenes en la cadena Polygon, crear una lista negra de direcciones de atacantes y ofrecer señales de alerta generales para los bots de trading. Sin embargo, esta solución funciona básicamente como un parche para mejorar el monitoreo y no resuelve el problema de raíz.

En comparación con otros métodos de arbitraje, el posible impacto de este tipo de ataque podría ser aún más profundo.

Para los creadores de mercado, las órdenes que tanto les costó conseguir pueden eliminarse en masa y sin previo aviso. La estabilidad y la previsibilidad de sus estrategias de creación de mercado desaparecen por completo, lo que podría debilitar directamente su disposición a seguir proporcionando liquidez en Polymarket.

Para los usuarios que operan bots de trading automatizado, las señales de transacción que devuelve la API ya no son confiables, mientras que los usuarios comunes pueden sufrir pérdidas importantes si la liquidez desaparece repentinamente durante una operación.

Para la propia plataforma Polymarket, si los creadores de mercado se resisten a colocar órdenes y los bots dudan a la hora de cubrir posiciones, la profundidad del libro de órdenes inevitablemente disminuirá y agravará aún más este ciclo de deterioro.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.