Diversas denuncias de billeteras bajo ataques emergen entre los usuarios de la app Polymarket, que denuncian la desaparición de sus fondos después de haber iniciado sesión a través de Google.
Investigaciones en curso revelan vulnerabilidades en los métodos de autenticación recientes y ataques phishing. Veamos a continuación todos los detalles.
Summary
Los usuarios de Polymarket bajo ataques denuncian el vaciado de los wallet después del acceso a través de Google
En los últimos meses, varios usuarios de Polymarket, una plataforma popular para las predicciones de mercado, han reportado un escenario preocupante: sus wallet han sido misteriosamente vaciados después de haber accedido a través de Google.
Mientras que aquellos que utilizan carteras Web3 estándar, como MetaMask o Trustwallet, no se han visto involucrados, los usuarios que dependen de los métodos más recientes de acceso a través de OAuth o Email OTP parecen ser las principales víctimas.
Este problema ha llevado a muchos a cuestionarse sobre la seguridad de estos nuevos métodos de autenticación y sobre las posibles fallas en el sistema.
Uno de los primeros usuarios en señalar el problema fue HHeego, un miembro de la comunidad Discord de Polymarket. Según lo declarado, el 5 de agosto depositó alrededor de $1.085,80 en USD Coin (USDC) en su cuenta Polymarket a través de Binance.
Sin embargo, después de haber esperado horas sin ver el depósito, se unió al servidor de Discord de Polymarket para buscar asistencia. Aquí descubrió que otros usuarios estaban encontrando problemas similares.
Tranquilizado por el hecho de que probablemente se tratara de un simple error de interfaz de usuario, HHeego dejó de preocuparse. Poco después, el depósito finalmente apareció en su cartera.
Sin embargo, con la misma rapidez con la que había aparecido, el saldo completo de $1.188,72 USDC se desvaneció, incluidos los $102,92 que ya estaban en su cuenta antes del depósito.
HHeego inspeccionó inmediatamente el historial de transacciones a través del explorador de bloques Polygonscan, donde descubrió que su saldo había sido transferido a una cuenta denominada «Fake_Phishing399064».
Este evento marcó el comienzo de una pesadilla.
A pesar del retiro de los fondos, las operaciones abiertas de HHeego, por un valor total de $2.000, permanecieron intactas.
Este extraño detalle ha alimentado aún más el misterio detrás del ataque, haciendo suponer que no se trataba de una simple vulnerabilidad, sino de algo más dirigido y específico.
El segundo ataque y la intervención del servicio de atención al cliente
Creyendo inicialmente que el agotamiento de su portafolio fuera solo un error
temporal, HHeego ha decidido depositar una suma adicional de $4.111,31 el 11 de agosto.
Pero, como ocurrió anteriormente, los fondos fueron retirados inmediatamente de la misma cuenta de phishing, llevando sus pérdidas totales a nada menos que $5.197,11. En este punto, HHeego se dio cuenta de que su cuenta había sido comprometida.
Posteriormente, decidió cerrar todas sus operaciones, que ascendían a aproximadamente $1.000, y retiró los fondos restantes en su cuenta de Binance. Sorprendentemente, el hacker no tocó estos fondos, y el retiro se completó con éxito.
Esto ha reforzado aún más su convicción de que el ataque estaba circunscrito a las sumas depositadas y no se refería a los ingresos de las operaciones ya abiertas.
Cuando HHeego contactó nuevamente con el servicio de atención al cliente de Polymarket, le dijeron que su cuenta probablemente había sido comprometida y que no debería usarla más.
El agente le prometió que el equipo estaba trabajando para comprender mejor qué había sucedido y que proporcionarían más detalles en breve. Sin embargo, después de un último mensaje recibido el 15 de agosto, no ha tenido más actualizaciones del equipo.
La segunda víctima: Cryptomaniac
Otro usuario, conocido como «Cryptomaniac» en Discord, vivió una situación similar. Después de haber depositado $745 el 9 de agosto, los fondos fueron sustraídos de su cuenta y enviados a la misma cuenta de phishing involucrada en el caso de HHeego.
A pesar de los primeros intentos de asistencia por parte del equipo de Polymarket, al final Cryptomaniac dejó de recibir respuestas.
Después de semanas de intentos infructuosos de resolver el problema, informó que el equipo de atención al cliente había cesado toda comunicación.
Cryptomaniac también mostró una captura de pantalla de una de las declaraciones recibidas del servicio de atención al cliente, en la que el agente afirmaba que el ataque ya se había observado en otras cinco ocasiones, sugiriendo la existencia de al menos tres víctimas adicionales.
Además, ha surgido que el agresor había utilizado la autenticación mediante OTP email para acceder a las cuentas de las víctimas. Factor que implica una violación más compleja que el simple phishing.
Vulnerabilidad en los accesos a través de Google en los ataques a los wallet Polymarket
Las investigaciones se han centrado en las modalidades de acceso utilizadas por las víctimas.
A diferencia de los usuarios que utilizan carteras Web3 como MetaMask o Trustwallet, los cuales no fueron afectados, tanto HHeego como Cryptomaniac habían utilizado el acceso a través de Google para gestionar sus cuentas.
Polymarket, de hecho, utiliza el kit de desarrollo Magic SDK para permitir a los usuarios acceder sin contraseña o seed, facilitando el inicio de sesión a través de Google o email OTP.
Sin embargo, este sistema parece haber presentado una vulnerabilidad aún no aclarada. La cual ha permitido a los atacantes sustraer los fondos de las víctimas sin comprometer sus cuentas de Google.
Según los documentos de Magic Labs, el sistema genera una «chiave master utente» que se almacena en un módulo de seguridad de hardware de Amazon Web Services (AWS).
Esta clave puede ser utilizada para descifrar una segunda clave cifrada almacenada en el dispositivo del usuario, permitiendo iniciar transacciones en Polymarket.
Sin embargo, ambas víctimas han declarado no haber encontrado nunca accesos no autorizados a sus cuentas de Google, lo que hace aún más compleja la comprensión del ataque.
