-
Polymarket descartó el ataque que habría revelado más de 300.000 registros.
-
Un investigador insistió en que fue “más que una simple extracción pública de datos".
El equipo de Polymarket negó la filtración de datos reportada por la firma de ciberseguridad Dark Web Informer, que habría revelado más de 300.000 registros del mercado de predicción. Desde Polymarket explicaron que se trató de un acceso a información disponible públicamente para desarrolladores.
«‘Comprometieron’ nuestra plataforma accediendo a endpoints de API públicamente accesibles y datos en cadena y… revisando notas ¿están intentando vender datos que ofrecemos gratis a desarrolladores? ¿Qué fondo de inversión te pagó para publicar esto?», respondió este 28 de abril la cuenta de X de desarrolladores de Polymarket, sugiriendo que en el informe de Dark Web Informer habría un interés comercial de competidores.
Sin embargo, un investigador conocido en X como Kruptos contradijo esa lectura señalando que el paquete de datos publicado por el hacker identificado como ‘xorcat’ (quien habría filtrado los datos y los estaría vendiendo en Internet) va más allá de una simple extracción de información pública.
Según este investigador, el material afectado incluye la vulnerabilidad CVE-2025-62718, una falla con una severidad de 9,9 sobre 10 en la escala estándar de clasificación de riesgos de seguridad, que permite a un atacante acceder a servicios internos de la plataforma desde el exterior. También incluiría una configuración incorrecta que permite solicitudes entre dominios sin restricción de origen (una falla que habilita que sitios externos accedan a datos de la plataforma como si fueran el propio usuario) y acceso a recursos de la API que no deberían estar disponibles sin autenticación. «Es más que una simple extracción pública de datos», escribió el investigador.
Contestando a Kruptos, desarrolladores de Polymarket reiteraron su postura advirtiendo que es una «completa y absoluta tontería».
¿Qué pasó con Polymarket, de acuerdo con Dark Web Informer?
Como reportó CriptoNoticias, Dark Web Informer alertó el 28 de abril que el hacker ‘xorcat’ publicó en un foro de cibercrimen más de 300.000 registros extraídos de Polymarket, incluyendo 10.000 perfiles completos con nombre real, seudónimo y dirección de wallet, y 9.000 perfiles adicionales de seguidores con los mismos campos.
El paquete de datos, de aproximadamente 750 megabytes, también expuso 58 direcciones de Ethereum con indicadores de autenticación de administrador y un script de extracción automática que continúa descargando datos actualizado mientras las vulnerabilidades permanezcan sin corregir.
No obstante, Polymarket no respondió a ninguno de esos puntos técnicos específicos y se limitó a refutar lo ocurrido.
