Polymarket, el mayor mercado de predicciones del ecosistema cripto, congeló este jueves todo el trading nuevo 20 minutos después de que un usuario denunciara que le habían vaciado 800.000 dólares de su cuenta. La plataforma pasó a modo solo-cancelación y pausó su relayer, el sistema que mueve tokens y aprueba gastos desde las carteras de los usuarios.
El detonante fue un mensaje publicado a las 17:45 UTC en X por el usuario @CarOnPolymarket. ‘Si eres usuario de Polymarket, protege tu cuenta. Acabo de perder 800.000 dólares. Otras cuentas también están siendo afectadas. Un amigo perdió 600.000 dólares’, escribió. En una publicación posterior aseguró que todas sus posiciones habían sido vendidas sin su permiso.
Con esas dos cifras, las pérdidas reportadas suman 1,4 millones de dólares. La propia plataforma dio una confirmación parcial: a las 18:05 UTC, su página de estado marcó una interrupción importante y dejó el mercado en modo solo cancelación.
Ese modo significa una cosa concreta. Quien tenga posiciones abiertas puede retirar sus órdenes pendientes, pero no puede comprar ni vender. El mercado queda en pausa, no en liquidación.
Lo que Polymarket no ha dicho pesa tanto como lo que ha dicho. No ha confirmado que haya sufrido un hackeo, no ha dado una causa, no ha cifrado las víctimas ni el total de pérdidas. Tampoco ha vinculado oficialmente la interrupción con las denuncias de robo, pese a que ambas cosas ocurrieron con apenas 20 minutos de diferencia.
Un mercado que se congela en 20 minutos protege el dinero; el problema es que nadie sabía que hacía falta hasta que alguien perdió 800.000 dólares.
Qué pueden hacer los usuarios con posiciones abiertas
Para quien tiene dinero dentro, la situación es incómoda pero no desesperada. La primera recomendación, y también la del trader afectado, es no interactuar con el sitio hasta que exista un comunicado oficial. Nada de firmar transacciones nuevas ni de aprobar permisos de gasto adicionales.
La pausa del relayer añade una capa de confusión. Según la documentación para desarrolladores del proyecto, ese sistema es el que ejecuta las transferencias de tokens y las aprobaciones de gasto en nombre de las carteras. Con el relayer detenido, es probable que algunos retiros queden pendientes aunque el saldo siga apareciendo en pantalla.
Conviene recordar que Polymarket no custodia las posiciones como un banco. Opera con contratos inteligentes sobre blockchain, y ahí está la diferencia relevante: los fondos depositados en esos contratos no fueron vulnerados en el incidente de junio, y nada apunta a que lo hayan sido ahora.
El precedente de junio: 3 millones en pUSD y una promesa de reembolso
La plataforma ya vivió un episodio parecido hace cuatro meses. En junio, unos atacantes alteraron el código de un proveedor externo que funcionaba dentro de la web de Polymarket. El sitio modificado pedía a algunas carteras que aprobaran transferencias hacia direcciones controladas por los atacantes.
Salieron aproximadamente 3 millones de dólares en pUSD, el token estable vinculado al dólar que la plataforma usa como colateral de trading, procedentes de de menos de 15 cuentas. Los contratos que guardan los fondos de los usuarios quedaron intactos.
Entonces hubo promesa de devolución. ‘Estamos reembolsando totalmente a los usuarios afectados, no hay pérdidas para los usuarios’, dijo William LeGate, jefe de experiencia de Polymarket. En el incidente de este jueves no ha habido todavía una promesa equivalente.
Dos sustos en una semana. El martes, el mercado de predicciones rival Predict.fun perdió 400.000 dólares por un ataque. La coincidencia pone la lupa sobre un sector que mueve volúmenes crecientes y que, en muchos casos, depende de proveedores externos para funciones críticas.
Por qué la seguridad de los mercados de predicción es distinta
Un mercado de predicción se parece más a una casa de apuestas regulada que a un exchange al uso. Los usuarios compran y venden participaciones sobre si ocurrirá un evento —una elección, un partido, una decisión del BCE— y el precio de esas participaciones funciona como probabilidad implícita. Polymarket se hizo famoso en 2024 por acertar el resultado electoral estadounidense con más precisión que muchas encuestas.
Ese éxito trajo volumen, y el volumen trajo atención de atacantes. La lección de esta semana es que el eslabón débil rara vez está en la cadena: está en el código de terceros que se ejecuta en la web, en el relayer que firma por el usuario o en la interfaz que pide permisos. Es la misma historia del DeFi summer de 2020, cuando decenas de protocolos fueron vaciados no por fallos de sus propios contratos, sino por oráculos mal configurados, esos servicios que alimentan de precios a una aplicación.
Hay un riesgo adicional que el sector tiende a minimizar: la concentración. Buena parte de la liquidez de los mercados de predicción cripto pasa por dos o tres plataformas. Si una congela retiros durante días, el ecosistema entero pierde capacidad para descubrir precios.
La próxima actualización de la página de estado de Polymarket aclarará si se repite la estrategia de junio —reembolso total y vuelta a la normalidad— o si esta vez el incidente se queda sin explicación pública. Hasta entonces, la única certeza es la de siempre: quien opera en estos mercados asume un riesgo tecnológico que nunca aparece en el titular del evento sobre el que apuesta.
