Ataque a Polymarket a través de un proveedor externo: qué vigilar ahora

Polymarket detuvo temporalmente la negociación en su plataforma internacional el 29 de octubre de 2026, después de que varios usuarios denunciaran retiros no autorizados. El ataque se produjo a través de un proveedor externo, por el que los atacantes llegaron a las cuentas. Los contratos de negociación de la propia plataforma no se vieron afectados. La empresa reabrió la negociación ese mismo día y prometió una indemnización completa a todos los afectados.

Para los usuarios en Alemania, el incidente desplaza la pregunta. La cuestión decisiva no es si un contrato de negociación en la blockchain está bien programado. Más importante es cuántos servicios ajenos funcionan en una web de negociación y qué ocurre si uno de ellos es tomado.

Qué pasó en Polymarket: un proveedor comprometido y no un fallo de programación

Polymarket es un mercado de predicción, una plataforma en la que los usuarios compran y venden participaciones sobre el resultado de acontecimientos futuros, cuyo precio refleja la probabilidad estimada. La liquidación se realiza mediante smart contracts, programas en una blockchain que ejecutan apuestas y pagos sin una entidad gestora.

Según la empresa, esos programas no fueron el problema. Los atacantes obtuvieron en cambio acceso a un proveedor cuyo código la plataforma había integrado en su web. Quien controla un servicio así puede modificar lo que el usuario ve y confirma en el navegador sin tocar una sola línea del contrato de negociación.

La empresa no ha identificado al proveedor. La agencia Reuters, citando una fuente no identificada, menciona un servicio de supervisión de la velocidad de sitios web; Forbes lo describe como una plataforma de medición del rendimiento web. Polymarket no ha confirmado esta atribución y, mientras no lo haga, sigue siendo información de segunda mano.

Unos 2,65 millones de dólares en POL: el abanico de estimaciones de daños

No hay una cifra oficial. Polymarket no ha publicado ni el importe del daño ni el número de cuentas afectadas. Las cifras de los observadores difieren, y aquí se presentan como un abanico.

Los análisis de la firma Arkham, recogidos por varios medios especializados, hablan de unos 2,65 millones de dólares, salidos en POL, el token de la red Polygon sobre la que liquida Polymarket. El servicio de datos DeFiLlama registra algo menos de 2,7 millones de dólares. Crypto Economy informa de 2,65 millones de dólares y de la reanudación de la negociación.

Las cifras sobre el número de afectados difieren todavía más. Un informe habla de unos 2,6 millones de dólares repartidos en casi 1.000 cuentas, otro de unos 3 millones de dólares procedentes de menos de 15 cuentas. Ambas no pueden ser ciertas a la vez, y cada lectura lleva a una interpretación distinta. Una salida amplia a través de cientos de cuentas apunta a una interfaz manipulada para todos los visitantes, una estrecha a unas pocas cuentas grandes. Qué lectura se impone sigue abierto en la mañana del 30 de octubre.

Modo de solo cancelación: cómo se restringió temporalmente la negociación

Polymarket puso la negociación en un estado en el que no podían introducirse nuevas órdenes, pero sí cancelarse las existentes. No fue, por tanto, un apagado completo. Este modo de solo cancelación es la herramienta habitual de los mercados ante una incidencia: congela la entrada y, al mismo tiempo, deja salir a quien quiera salir.

La duración varía según las fuentes, desde una media hora hasta una interrupción más larga por la tarde. Lo que está claro es que la plataforma volvió a funcionar ese mismo día y que la empresa declaró todos sus sistemas operativos mientras sigue la investigación.

Indemnización y persecución penal: qué ha prometido la empresa

Polymarket ha declarado haber resuelto el problema y que indemnizará por completo a todos los traders afectados. Según Reuters, citada por Forbes, la empresa ha trasladado el caso a las autoridades policiales británicas.

Una promesa aún no es un pago. Si estás afectado, frente a una plataforma sin licencia en la Unión Europea no tienes ningún derecho que un supervisor alemán vaya a hacer valer. La única prueba sólida sigue siendo tu propio registro: el momento del retiro no autorizado, el identificador de la transacción en la blockchain y la correspondencia con el proveedor.

El tercer incidente desde la primavera: el patrón de los accesos

El caso no es aislado. El 28 de junio de 2026, cryptoticker.io informó de un incidente en la misma plataforma en el que, según los datos de entonces, salieron unos 3,1 millones de dólares; nuestro análisis de aquel momento está en el artículo sobre el hackeo de Polymarket y el riesgo de seguridad de los mercados de predicción. También allí el punto de partida fue un proveedor.

Esa es la verdadera conclusión: desde hace meses, los ataques llegan por los accesos que rodean la plataforma, no por su núcleo. Interfaz, API y servicios externos integrados son la capa blanda sobre una liquidación robusta.

Los proveedores externos como puerta de entrada: por qué hay código ajeno en una web de negociación

Casi todas las grandes webs de negociación integran servicios que no gestionan ellas mismas: registros de errores, medición de tiempos de carga, estadísticas de uso, ventanas de chat, módulos de pago. Cada uno de estos servicios aporta código que se ejecuta en el navegador del usuario con los mismos permisos que la propia web.

Esta vía de ataque tiene nombre: ataque a la cadena de suministro, es decir, un ataque no al objetivo, sino a uno de sus proveedores. Resulta atractivo porque un único proveedor comprometido da al atacante acceso a decenas de webs a la vez, y es prácticamente invisible para el usuario, ya que la barra de direcciones, el certificado y la imagen de marca no cambian.

El paralelismo en nuestro propio archivo es evidente. En una filtración de datos en un proveedor de Coinbase a finales de octubre de 2026, los saldos no se vieron afectados; se filtraron datos de contacto que después servían para phishing. El patrón es el mismo: el atacado fue el proveedor del exchange.

Mercados de predicción y licencia de la UE: el marco para los usuarios en Alemania

En Europa, los mercados de predicción se mueven en un terreno sin aclarar. Según su diseño, encajan como instrumentos financieros, como juego o en ninguna de las dos categorías, y esa calificación decide qué supervisor sería competente. Una licencia conforme al reglamento europeo de mercados de criptoactivos, MiCA, cubre la negociación de criptoactivos, no automáticamente las apuestas sobre acontecimientos.

En la práctica, esto significa que quien opera a través de una plataforma sin licencia en la UE asume él mismo el riesgo de impago. La garantía de depósitos de hasta 100.000 euros que rige en un banco no existe aquí, y una reclamación ante la BaFin contra un proveedor sin licencia alemana no conduce a ningún resultado exigible. Quien opera en cambio con un proveedor autorizado en la UE tiene al menos un supervisor detrás en caso de conflicto.

Saldos en una plataforma: custodia y cuenta de negociación no son lo mismo

En un caso así, la diferencia determina el daño. Si un saldo está en una cuenta de negociación, el proveedor tiene las claves y lleva internamente la contabilidad de tu derecho. Si está en una wallet propia, un programa o dispositivo que guarda él mismo la clave privada, el control queda en manos del propietario.

En Polymarket, los usuarios suelen conectar su propia wallet a la plataforma. Es la mejor vía, pero no la vía segura, porque una conexión es un permiso. Una vez concedido, permite a una aplicación disponer en cierta medida de tus fondos, y precisamente ese permiso es el objetivo cuando se manipula la interfaz. Qué dispositivos guardan la clave fuera del navegador y cuánto cuestan lo muestra la comparativa de carteras hardware.

Permisos de una conexión de wallet: dónde actúa un proveedor externo

En la práctica, una conexión de wallet abarca más que mostrar un saldo. Incluye autorizaciones para tokens concretos, los llamados approvals, con los que un contrato puede mover una cantidad determinada de un token, a menudo sin límite superior y sin fecha de caducidad.

Una autorización ilimitada del año pasado sigue vigente hoy. Por eso, el paso más importante tras un incidente así es revocar las autorizaciones antiguas, incluso antes de retirar el saldo. Quien nunca lo ha hecho suele llevar consigo una docena de permisos abiertos, la mayoría de los cuales ha olvidado.

Apalancamiento y liquidación: qué supone una suspensión para las posiciones abiertas

Una operación apalancada significa que un trader mantiene con dinero prestado una posición mayor de la que cubre su aportación; si el precio supera un determinado umbral, la posición se cierra de forma forzosa. Ese punto se llama liquidación.

Una suspensión de la negociación golpea aquí por partida doble. Quien no puede aportar margen ni vender mientras el mercado se mueve pierde el control de su propia aportación. En los mercados de predicción, las posiciones suelen funcionar sin apalancamiento. En los exchanges de derivados es distinto, y allí un modo de solo cancelación marca la diferencia entre limitar una pérdida y un cierre forzoso al peor precio. Si operas con apalancamiento, deberías saber qué reglas ante incidencias ha fijado por escrito tu proveedor.

Plazo de tenencia e impuestos: qué desencadena una indemnización en Alemania

En lo fiscal, el caso es incómodo porque mezcla varias operaciones. Según la opinión mayoritaria, el robo de criptoactivos no es una venta y, por tanto, no genera una ganancia imponible; si puede hacerse valer una pérdida es discutido y depende del caso concreto.

Una indemnización que un proveedor paga de forma voluntaria, en cambio, puede considerarse un reembolso, y si se paga en un token distinto del perdido, constituye una permuta con su propio plazo de tenencia. El plazo de un año para enajenaciones privadas empieza de nuevo para el importe recibido. Para tu documentación, eso significa registrar por separado la fecha y el importe de la salida y la fecha y la forma de la indemnización. Esto no es asesoramiento fiscal, y con importes elevados el asunto debe ponerse en manos expertas.

Polymarket: indemnización prometida, el riesgo sigue en los accesos

La plataforma vuelve a operar, y la promesa de una indemnización completa es más de lo que obtienen los usuarios tras muchos incidentes de este tipo. Aun así, el incidente ha mostrado dónde está el punto débil, y no está donde la mayoría lo supone. Ahora tienen sentido tres cosas:

1. Revocar autorizaciones. Retira las autorizaciones antiguas e ilimitadas de tokens para plataformas de negociación, también las de plataformas que ya no uses. Qué wallets de software incluyen esta vista lo explica la comparativa de wallets de software.
2. Separar saldo de negociación y patrimonio. Deja en la plataforma solo el importe que muevas de forma activa y pasa el resto a tu propia custodia. Un exchange regulado no sustituye a tu propia wallet; es solo la vía con un supervisor detrás.
3. Dejar constancia de lo ocurrido. Guarda los identificadores de transacción, las horas y la correspondencia antes de que llegue una indemnización, porque la calificación fiscal necesita ambas cosas. Una herramienta fiscal con vista de cartera deja constancia de las fechas.

(30 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)