Un pequeño script que medía la velocidad de una página terminó robando dinero de sus usuarios. Eso le pasó a Polymarket con el código de DebugBear, un servicio de monitoreo que muchos sitios cargan sin pensarlo dos veces.
Si tu aplicación carga código de terceros, este caso te sirve para revisar qué tanto le confías a cada proveedor.
¿Qué pasó?
El 29 de octubre de 2026, Polymarket, una plataforma de mercados de predicción, detuvo por cerca de una hora las operaciones de su sitio internacional tras reportes de retiros que nadie había autorizado. La empresa dijo que un proveedor externo fue comprometido y que llevó el caso a las autoridades.
Investigadores de Hudson Rock encontraron el origen: un archivo de JavaScript servido desde la red de DebugBear, una empresa británica de monitoreo de rendimiento. Su producto RUM, que mide cómo carga la página en el navegador de cada visitante, se instala pegando un fragmento de código en el sitio.
Según BleepingComputer y SecurityWeek, el script alterado detectaba si el visitante tenía la sesión abierta, vendía sus posiciones y mandaba los fondos a una cartera del atacante. No necesitaba robar contraseñas: aprovechaba los permisos que la persona ya tenía al estar dentro.
¿Cuánto se llevaron?
Polymarket no ha dado una cifra. Las estimaciones de firmas que analizan la cadena de bloques van de unos 2.2 a unos 2.7 millones de dólares, y no coinciden entre sí. La empresa prometió reembolsar a quienes perdieron dinero.
DebugBear confirmó un incidente de seguridad en curso y pidió a sus clientes de RUM quitar su código de sus sitios. Hasta ahora no hay pruebas de que otros clientes hayan sido atacados, y todavía no se sabe cómo alteraron el archivo.
¿Por qué te importa?
Cada script externo que pegas en tu sitio corre con los mismos permisos que tu propio código. Si el proveedor sufre un ataque, el atacante puede hacer en tu página todo lo que tu usuario puede hacer.
Esto aplica igual a analítica, chats de soporte, mapas de calor o pruebas A/B. Es el mismo tipo de ataque que ya vimos con el script de analítica de Convertr, que robó tarjetas en tiendas en línea.
¿Qué puedes hacer?
- Si usas DebugBear RUM, quita su fragmento de código de tus sitios mientras la empresa termina su investigación.
- Haz una lista de todos los scripts de terceros que carga tu aplicación y elimina los que ya no uses.
- No cargues herramientas de monitoreo o analítica en las páginas más delicadas, como pagos, cuentas o paneles de administración.
- Configura una política de seguridad de contenido (CSP), es decir, una lista de los dominios desde los que tu sitio puede cargar código.
- Cuando el proveedor lo permita, usa versiones fijas de sus archivos con verificación de integridad, para que el navegador rechace cambios inesperados.