Presunto exploit manipula apuestas en Polymarket
Distintos usuarios en la red social X han reportado la existencia de una vulnerabilidad en la plataforma de mercados de predicción Polymarket. Según las denuncias, este fallo permitiría manipular artificialmente las probabilidades de diversos mercados sin que se lleguen a ejecutar operaciones reales, generando distorsiones significativas en el comportamiento de los bots de arbitraje.
El usuario conocido como Lirrato alertó sobre esta situación el 21 de febrero, señalando mercados específicos que habrían sufrido variaciones drásticas. Uno de los ejemplos citados fue el mercado sobre la nominación de Judy Shelton para la presidencia de la Reserva Federal, el cual supuestamente se infló desde un 0,6 % hasta un 30 % (un aumento del 5.000 %). De manera similar, se reportó un salto del 0,1 % al 35 % en el mercado referido al Primer Ministro de los Países Bajos.
Lo crítico de estos movimientos es que, según los reportes, no hubo transferencias de fondos en la red Polygon, la infraestructura sobre la cual opera Polymarket. Esto sugiere que la manipulación ocurrió a nivel del libro de órdenes antes de la liquidación en cadena.
Mecanismo de la supuesta vulnerabilidad
El objetivo de este presunto exploit sería engañar a los bots de arbitraje. Estos programas automáticos monitorean el libro de órdenes y reaccionan ante grandes movimientos de precio, comprando o ajustando posiciones para captar diferencias.
El modus operandi descrito por Lirrato se desarrollaría de la siguiente manera:
- Simulación de demanda: El atacante coloca una orden de gran tamaño en el libro de órdenes fuera de la cadena (off-chain). Esto altera las probabilidades mostradas por la plataforma.
- Reacción en cadena: Los bots detectan este cambio brusco y ejecutan operaciones automáticamente, asumiendo una demanda real.
- Cancelación técnica: Antes de que la orden original se confirme en la blockchain de Polygon, el atacante utiliza una función llamada ‘incrementNonce’. Esto invalida la orden firmada previamente.
- Resultado: La operación nunca se liquida en la cadena, pero el movimiento de precios ya ha ocurrido, dejando a los bots y otros usuarios expuestos a posiciones a precios artificiales.
Respuesta de la plataforma y análisis técnico
Ante estos reportes, el equipo de Polymarket ha reconocido la situación a través de mensajes internos, señalando: «Polymarket tiene conocimiento de un exploit técnico que podría estar distorsionando los precios de manera artificial. Cualquier precio que resulte claramente de este exploit (…) no será tomado en cuenta para la resolución del mercado».
Hasta el momento, la plataforma no ha emitido un comunicado oficial público detallando el alcance total del incidente, aunque se ha observado que algunos intentos de orden están siendo rechazados.
Por su parte, el analista Bubblik ha sugerido que el problema podría ser una debilidad arquitectónica más que un simple error puntual. Al no existir un secuenciador central o un motor de gestión de riesgo que garantice la ejecución inmediata en cadena, el sistema híbrido de Polymarket (que empareja órdenes off-chain y liquida on-chain) crea una ventana temporal susceptible a este tipo de ataques.
Mientras se espera una respuesta oficial definitiva, el incidente resalta las complejidades de seguridad inherentes a los modelos de libro de órdenes centralizados (CLOB) que operan sobre redes blockchain descentralizadas.
