El hackeo de Predict.fun ha costado cerca de 400.000 dólares a sus usuarios, según las primeras estimaciones del propio proyecto. Ocurrió apenas dos días después de que Binance abriera la negociación del token de esta plataforma de mercados de predicción, un activo que llegó a valorarse en 1.430 millones de dólares antes siquiera de existir.
Conviene empezar por lo básico. Predict.fun es un mercado de predicción: un sitio donde la gente compra participaciones de ‘sí’ o ‘no’ sobre acontecimientos del mundo real, desde unas elecciones hasta el resultado de un partido de fútbol. Si aciertas, cobras; si fallas, pierdes lo apostado. Funciona de forma parecida a una casa de apuestas, con una diferencia importante: aquí el precio lo fija el mercado, no la casa. El funcionamiento completo está descrito en la web oficial de Predict.fun.
El dinero sustraído estaba en USDT, la stablecoin más usada del sector, una criptomoneda diseñada para valer siempre un dólar. Y el punto débil no fue un contrato inteligente ni una clave privada robada, sino algo mucho más terrenal: la web donde se publica la documentación de la API, la página de ayuda que explica a los desarrolladores cómo conectarse a la plataforma. Ese sitio lo gestionaba una empresa externa y ya está fuera de línea.
Qué se sabe del robo: 400.000 dólares y un proveedor externo en el centro
Predict.fun no ha dicho cuántos usuarios han resultado afectados. Sí ha prometido que todos recuperarán íntegro el dinero perdido. ‘Reembolsaremos completamente a todos los usuarios afectados por cualquier fondo perdido como resultado directo de este incidente’, señaló el equipo en su comunicado. Traducido: la plataforma asume el coste, al menos de momento.
El episodio deja una lección poco glamurosa. La mayoría de los incidentes que llegan a los titulares tiene que ver con fallos en el código de un protocolo o con llaves privadas mal guardadas. Aquí el agujero estaba en una página de documentación alojada por un tercero, es decir, en una capa que casi nadie audita porque no mueve dinero directamente. Hasta que lo mueve.
Si tienes fondos en la plataforma, la recomendación práctica es la de siempre en estos casos: revisa el saldo, no firmes transacciones que no entiendas y espera instrucciones del canal oficial del proyecto, nunca de un mensaje privado que te pida conectar la cartera.
El estreno en Binance: 1.430 millones de valoración y cinco veces de apalancamiento
El calendario es lo que más ha llamado la atención. Binance Futuros había empezado a ofrecer PREDICT, el token del proyecto, apenas 48 horas antes del robo. Son contratos pre-market, un mecanismo que permite negociar una criptomoneda antes de que se lance oficialmente, con hasta cinco veces de apalancamiento: se puede poner cinco veces más dinero del que uno tiene, con el riesgo multiplicado en la misma proporción. A día de hoy, el token sigue sin estar en circulación.
El punto débil no estaba en la cadena, sino en una página de documentación que nadie revisa hasta que falla.
Los analistas han puesto el foco en la valoración. ‘Al precio actual, su valoración es de 1.430 millones de dólares… decenas de veces más alta que proyectos similares’, apuntó uno de ellos. El mismo análisis repasa los 28 tokens que Binance ha listado con este mecanismo: un mes después del estreno, el típico había caído un 49%.
Quedan preguntas sin respuesta, y son tres bastante incómodas:
- Cuántos usuarios han perdido dinero y si el reembolso cubrirá también las comisiones.
- Quién posee cuántos tokens PREDICT: el proyecto no ha publicado el reparto.
- Qué responsabilidad asume Binance, que no es dueño de la plataforma pero sí la integró en su wallet y aloja la negociación del token.
Sobre lo primero, silencio. Sobre lo segundo, también. Y sobre lo tercero conviene recordar el contexto: Predict.fun es la pestaña de predicciones que Binance Wallet empezó a probar el pasado marzo, y YZi Labs, la firma de inversión respaldada por Changpeng Zhao, fundador de Binance, amplió su participación en abril. Binance no controla la plataforma, pero su nombre viaja pegado a ella en cada titular.
Dos reembolsos en cuatro meses: el patrón que debería preocupar
Esto ya ha pasado antes, y no hace mucho. El pasado junio, Polymarket, el rival más grande del sector, prometió reembolsos completos después de que el código de un proveedor externo drenara unos 3 millones de dólares de las cuentas de sus usuarios. Dos mercados de predicción han tenido que sacar la cartera en cuatro meses. No es mala suerte: es un patrón.
La razón tiene que ver con cómo se construyen estos productos. Los mercados de predicción no viven aislados; necesitan oráculos (servicios que traen datos del exterior a la blockchain), proveedores de liquidez, pasarelas de pago y documentación técnica externalizada. Cada pieza añadida es una puerta más. Y cuanto más rápido crece un proyecto, más puertas abre antes de tener los controles de seguridad a la altura.
Mi lectura es que el problema no son los 400.000 dólares, una cifra modesta para un sector que mueve cientos de miles de millones, sino el momento y el mensaje. Un proyecto que aún no ha lanzado su token, que no ha detallado cuántos usuarios tiene ni cómo reparte su suministro, ya ha sufrido un incidente de seguridad y ya ha tenido que prometer devoluciones. La valoración de 1.430 millones de dólares queda, por ahora, sin respaldo público que la sostenga.
Cierra con una condición que el lector puede seguir. Los traders de PREDICT esperan el informe completo y los datos de propiedad del token, y esa es la próxima cita real. Si el reparto revela una concentración alta en pocas carteras, la caída media del 49% que registraron los estrenos anteriores de Binance puede quedarse corta. Si el proyecto publica auditorías del proveedor externo y un calendario claro de lanzamiento, el episodio quedará como un susto caro pero asumible.
