El exploit Polymarket deja unas cifras incómodas: 2,65 millones de dólares en POL concentrados en una billetera que el análisis on-chain vincula a un presunto atacante, la plataforma cerrada en falso y una promesa de reembolso sin calendario. La casa de mercados de predicción reanudó la actividad el jueves 29 de octubre y atribuyó el fallo a un proveedor externo comprometido. No dijo cuál.
Para quien no la use a diario: la plataforma Polymarket es un mercado de predicción donde se compran y venden posiciones sobre el resultado de un evento —unas elecciones, un partido, el precio del ether— y cada contrato liquida a 1 dólar si se cumple la condición. Opera sobre Polygon, una red compatible con Ethereum donde las comisiones se miden en céntimos, y mueve volumen en stablecoins. Ahí está la primera pista de por qué un fallo en un proveedor externo puede tumbar el libro de órdenes de golpe.
Qué pasó: modo de solo cancelación y una salida rapidísima de fondos
La secuencia, según el relato de la propia plataforma y los datos que publicó la firma de análisis on-chain Arkham, fue rápida. Primero aparecieron salidas de fondos que no encajaban con la actividad normal. Polymarket activó entonces un modo de solo cancelación: los usuarios podían retirar sus órdenes pendientes, pero no abrir posiciones nuevas ni ejecutar operaciones. En paralelo, la empresa detuvo las acciones de su relayer, el componente que firma y envía transacciones en nombre de los usuarios.
Arkham identificó después una billetera vinculada al presunto atacante con alrededor de 2,65 millones de dólares en POL, el token nativo de Polygon. Los movimientos previos habían sido intercambios de USDC.e, la versión transferible de USDC en esa red, a POL a través de Relay, un servicio que mueve activos entre cadenas. Desde ahí, los fondos empezaron a dispersarse por distintas direcciones. El rastro es rastreable en el explorador de Polygon.
Conviene leer la cifra con precisión, porque es donde más se confunde la gente. Que una billetera tenga 2,65 millones en POL no significa que Polymarket haya recuperado ese dinero ni que el total sustraído sea exactamente esa cantidad. Es el saldo localizado en una dirección, no una auditoría del incidente. La identificación es, además, una atribución de análisis en cadena: no hay conclusión judicial detrás.
Horas después, la compañía comunicó que había encontrado y corregido la causa. Su explicación pública fue que uno de sus proveedores externos había sido comprometido. No identificó al proveedor, no detalló qué componente falló y no aclaró si el incidente tocó solo el flujo operativo o también otros sistemas. Eso sí, el asunto se remitió a las autoridades.
Un mercado que se cierra en minutos protege el dinero, pero deja a la vista su dependencia: cuando falla un tercero, el usuario solo puede cancelar y esperar.
A quién afecta: reembolsos prometidos y un calendario que no existe
El compromiso público es reembolsar íntegramente a los traders perjudicados. El problema es todo lo que falta alrededor de esa frase: no hay fecha, no hay procedimiento para solicitarlo, no hay cifra de afectados y no hay desglose de qué operaciones quedaron dañadas durante la pausa. Para quien se encontró sin poder cerrar una posición, esa ausencia pesa más que el anuncio de la corrección.
Quedan dos preguntas prácticas. La primera es cómo se calculará la compensación: si se toma el precio de entrada, el precio de mercado en el momento del bloqueo o el resultado final del contrato. La segunda es cuándo. La mayoría de los traders afectados sigue esperando una comunicación con fechas, y en un mercado de predicción el tiempo es dinero de verdad: un contrato que expira durante la pausa puede cambiar de valor sin que el usuario pueda hacer nada.
El riesgo que ya no vive en el contrato inteligente
Durante años, el miedo en las finanzas descentralizadas tuvo una forma reconocible: un fallo en el código. El precedente fundacional sigue siendo The DAO, en junio de 2016, cuando un error de recursión permitió drenar millones de ether y partió Ethereum en dos cadenas. Aquello enseñó al sector a auditar contratos, a imponer retrasos obligatorios en los cambios y a desconfiar de la novedad. Casi una década después, el vector se ha desplazado.
Este caso no apunta a un contrato mal escrito, sino a un tercero comprometido y a un relayer. Es un patrón que se repite: la capa crítica ya no es el contrato, es la infraestructura que lo alimenta —proveedores, oráculos, puentes, servicios de firma—. Polymarket había vivido episodios parecidos. En marzo de 2025, un ataque de gobernanza se enredó con una apuesta de 7 millones de dólares sobre si Ucrania aceptaría un acuerdo mineral con Donald Trump. A comienzos de 2026, unas salidas sospechosas en la infraestructura del UMA CTF Adapter sobre Polygon abrieron una investigación interna cuyo resultado nunca se detalló en público.
Hay una lectura menos amable y conviene decirla. Los mercados de predicción venden transparencia —todo se resuelve en la cadena, todo se puede auditar—, pero su operativa real depende de un puñado de piezas opacas: quién resuelve los contratos, quién firma las transacciones, qué proveedor sostiene el flujo. Cuando una falla, el usuario descubre que la transparencia era selectiva. Y descubre también que el reembolso depende de la voluntad de una empresa, no de una regla escrita en el código.
Queda pendiente lo que de verdad movería la aguja: un informe técnico con el nombre del proveedor, el número de afectados y el calendario de pago. Sin eso, la corrección es una promesa; con eso, Polymarket tendría un argumento serio para recuperar la confianza. Los mercados de predicción se juegan su próximo capítulo en detalles poco vistosos: auditorías de terceros, planes de contingencia y una arquitectura que no dependa de un solo eslabón. Es la misma lección que Ethereum aprendió a golpes en 2016.
