Según informaciones del mercado, en un incidente de seguridad relacionado con la interfaz web de Polymarket, los presuntos atacantes habrían convertido los activos obtenidos en unos 2,65 millones de dólares en POL y luego habrían transferido un total de aproximadamente 28,64 millones de POL. Si esta ruta de fondos es cierta, el problema inmediato para POL no es si sus propios contratos se vieron afectados, sino adónde irán los tokens implicados y si llegarán a lugares donde puedan negociarse y venderse.
Toda la información disponible procede del mismo tipo de debate público; no hay registros independientes de seguimiento en la cadena, informes oficiales del incidente por parte de la plataforma ni datos de transacciones para contrastarla. La magnitud del ataque, la cantidad transferida, los avances en la gestión del incidente y el destino posterior deben considerarse afirmaciones del mercado pendientes de verificación. En particular, hay que distinguir entre «convertir en POL», «transferir POL» y «haber vendido POL»: no son equivalentes.
De una anomalía en la web a POL: cómo se construyó esta narrativa
Según los debates públicos, la anomalía ocurrió en la interfaz del sitio web de Polymarket. Las versiones apuntan a un script de supervisión del rendimiento de terceros integrado en el sitio: presuntamente fue manipulado, lo que habría afectado las operaciones de las cuentas o las solicitudes de firma de usuarios que habían iniciado sesión. Según algunas versiones, se vendieron las posiciones de las cuentas afectadas y luego se transfirieron los activos; otras afirman que los usuarios vieron en una página normal del sitio solicitudes de firma para retiros que no habían iniciado. En conjunto, estas descripciones apuntan a un riesgo en la cadena de suministro del front-end, no a una vulnerabilidad confirmada del contrato de POL.
En cuanto a la magnitud del incidente, en los debates se repiten dos cifras: «unos 995 cuentas» y «unos 2,65 millones de dólares». También circulan cifras distintas: «al menos unos 2,7 millones de dólares, en unas 710 billeteras». Las cifras de cuentas, billeteras y pérdidas quizá no se refieran a las mismas unidades de recuento, y la información disponible no basta para explicar la diferencia. También se ha informado en el mercado que el servicio pasó temporalmente a permitir solo la cancelación de órdenes, que luego se reanudaron las operaciones y que se ofreció compensar a los usuarios afectados. Sin embargo, no hay registros que puedan verificarse de forma independiente sobre el alcance de la reanudación, el número real de afectados ni si se pagó la compensación.
POL pasó a formar parte de la narrativa de mercado sobre este incidente porque varios debates mencionan que los activos obtenidos presuntamente por los atacantes se convirtieron a POL y que luego se transfirieron en varios tramos un total de unos 28,64 millones de POL. La repetición de esta versión demuestra que ha generado interés, pero no sustituye la verificación de los hashes de las transacciones, la titularidad de las direcciones y las rutas de transferencia. Los aproximadamente 2,65 millones de dólares mencionados en los debates tampoco pueden considerarse directamente como el importe definitivo obtenido por la venta de estos tokens: por ahora no están claros los momentos ni los alcances que abarcan ambas cifras.
Discrepancia sobre los fondos: transferir no equivale a vender
Si finalmente se confirman las rutas de conversión y transferencia, el principal aspecto que habrá que observar a corto plazo en POL será el destino de los fondos. Que las direcciones implicadas conviertan los activos en tokens con mayor liquidez podría responder simplemente a la intención de transferirlos, dividirlos o disponer de ellos más adelante. Que se genere una presión vendedora real dependerá de la naturaleza de las direcciones receptoras y de que luego aparezcan registros verificables de ingreso en plataformas de negociación, nuevas conversiones o ventas continuadas. Las pruebas disponibles solo recogen la versión de que hubo «presuntas transferencias»; no aportan información sobre estas etapas posteriores.
Este es también un paso que el mercado suele pasar por alto: ver una transferencia de tokens por un importe elevado y describirla como una venta ya consumada. Transferirlos a una nueva dirección bajo control propio, seguir una ruta entre cadenas o enviarlos a una plataforma de negociación tiene implicaciones distintas para el precio. Incluso si llegan a una plataforma, su depósito no basta por sí solo para concluir que se han vendido. A la inversa, si los registros posteriores muestran conversiones continuadas de los tokens, el impacto del incidente en POL pasaría de ser una expectativa a convertirse en una oferta observable.
La información disponible no incluye datos contemporáneos sobre el precio, el volumen de negociación ni la profundidad del libro de órdenes de POL, tampoco cambios verificables en los saldos de las direcciones implicadas. Por tanto, no se puede determinar el tamaño de estos tokens en relación con la liquidez del mercado, y mucho menos atribuir cualquier fluctuación de precios al incidente. Algunas personas relacionan el incidente con una caída más amplia del mercado, pero las pruebas aportadas tampoco bastan para establecer una relación causal.
Hay que distinguir las repercusiones del incidente de seguridad del riesgo propio de POL
Si el incidente ocurrió mediante el mecanismo que se difunde actualmente, lo primero que se habría puesto a prueba son el front-end, los scripts de terceros y los límites de permisos de las cuentas de los que dependen los usuarios al visitar el sitio web. Que un sitio use un dominio legítimo no significa que todo el código externo que carga sea seguro. Por otro lado, que un «script del front-end presuntamente haya sido manipulado» tampoco significa que se haya comprometido la cadena subyacente o el contrato de POL. Confundir ambos tipos de riesgo puede llevar a una evaluación errónea del alcance del incidente.
Para POL, la repercusión más directa sería la expectativa sobre la disposición de los fondos implicados, después de que se eligiera POL como activo intermediario. Las opiniones más cautelosas temen que, si la cifra de unos 28,64 millones de POL es correcta, los tenedores empiecen a anticipar una posible venta posterior. Otra postura sostiene que el incidente se originó en un componente web de terceros y que POL solo fue un eslabón de la ruta de los fondos; mientras no haya pruebas verificables de ventas continuadas, no conviene calificar directamente el incidente de seguridad como un cambio en los fundamentos de POL. La verdadera diferencia entre ambas evaluaciones no está en la intensidad del debate sobre el incidente, sino en el destino final de los fondos.
También merece la pena seguir por separado el avance de las compensaciones. Según los debates públicos, las partes implicadas dijeron que compensarían íntegramente a los usuarios afectados. Si se confirman el alcance de la compensación, el plazo de ejecución y los pagos efectivamente recibidos, quedará más claro cómo se están gestionando las pérdidas de las víctimas. Sin embargo, la promesa de compensación por sí sola no demuestra que se haya detenido el movimiento de los POL implicados ni sustituye un análisis técnico del incidente de seguridad. La información también recoge versiones distintas sobre si se produjeron incidentes similares anteriormente, en qué meses y con qué pérdidas. Como no se han verificado de forma independiente, no deberían utilizarse para afirmar que existe una frecuencia o tendencia de incidentes.
Qué verificar a continuación y qué podría invalidar la evaluación actual
En primer lugar, hace falta un informe del incidente que pueda revisarse: qué script fue manipulado, qué operaciones de los usuarios se vieron afectadas, cuánto duró la anomalía y cuándo se restringió y restableció el servicio en cuestión. Esto determinará si puede sostenerse la narrativa actual de un «ataque a la cadena de suministro del front-end». Si el análisis técnico concluye que la causa no fue un script de terceros, debería retirarse el análisis basado en ese mecanismo de ataque.
En segundo lugar, hace falta conocer la ruta completa de los fondos, incluidas las direcciones de los presuntos atacantes, los registros de conversión, las transferencias por tramos de unos 28,64 millones de POL y la titularidad de las direcciones posteriores. Si no es posible vincular esas transferencias a los mismos fondos implicados, o si registros independientes desmienten la cantidad o el importe, se debilitaría considerablemente la base de la supuesta presión vendedora sobre POL. Si se confirma que los tokens siguen en direcciones desde las que no se han vendido, tampoco se sostendría la afirmación de que «ya se han vendido masivamente». Si se confirman conversiones o ventas continuadas, habría que reevaluar el impacto real del incidente en el mercado.
Por último, hay que verificar las pérdidas y las compensaciones: el número de cuentas afectadas, el método de cálculo de las pérdidas, el estado de la reanudación de las operaciones y los registros de los pagos de compensación deben comprobarse por separado; no se puede resumir todo el progreso en una sola promesa. Hasta que se respondan estas preguntas, la formulación más prudente sería que POL quedó involucrado en un flujo de fondos presuntamente relacionado con el incidente que aún debe verificarse; las versiones sobre transferencias han generado preocupación por la posible disposición de los activos, pero no se han demostrado ni las ventas efectivas ni su impacto en el mercado.