Polymarket: el contrato aguantó, la web no

El 25 de junio de 2026, alguien robó 3,1 millones de dólares a usuarios de Polymarket sin tocar un solo smart contract (el código que liquida las apuestas en la cadena de bloques). El atacante comprometió a un proveedor externo del frontend —la capa web con la que interactúa casi todo el mundo— e inyectó JavaScript malicioso en la propia página. Los contratos sobre Polygon hicieron exactamente lo que estaban programados para hacer; cedió la web que los envuelve, tan vulnerable como la de cualquier fintech tradicional. Y ocurrió en la peor semana posible: el 10 de junio la CFTC (el regulador federal de derivados de EE.UU.) había publicado el primer marco integral para prediction markets (mercados de predicción: plataformas donde se apuesta sobre el resultado de eventos futuros), y el 23 de junio demandó a un noveno estado para imponer su jurisdicción. Este artículo conecta las dos historias que el resto de la prensa cubre por separado: la capa on-chain de Polymarket es defendible por diseño justo cuando el gobierno federal intenta legitimar la industria — pero la capa por la que entra el dinero es su punto ciego.

¿Qué pasó exactamente en el hackeo de Polymarket del 25 de junio?

La secuencia es corta y aleccionadora. El 25 de junio de 2026, un atacante comprometió a un proveedor externo que suministra código al frontend de Polymarket e insertó un script malicioso en la página que ven los usuarios en su navegador. Ese script drenó alrededor de 3,1 millones de dólares en pUSD —la stablecoin dólar de la plataforma— de once wallets. Los fondos se convirtieron a unos 1.893 ETH y se puentearon (movieron entre cadenas) de Polygon a Ethereum, donde quedaron aparcados en direcciones controladas por el atacante.

La cifra tardó en cerrarse. Polymarket habló primero de un incidente menor y prometió reembolso total; el 27 de junio, CoinDesk actualizó la pérdida a los 3,1 millones definitivos, días después de esa promesa de reembolso. La plataforma confirmó que devolverá el 100 % a los once titulares afectados y que ya eliminó la dependencia comprometida que hizo posible el ataque. Ningún fondo de la mayoría de usuarios se vio afectado: el robo alcanzó solo a quienes tenían saldo activo y firmaron a través de la sesión envenenada durante la ventana del ataque.

Lo importante no es la magnitud —3,1 millones es modesto frente a los grandes robos del año— sino el vector. No hubo exploit de contrato, ni fallo de lógica en Solidity, ni oráculo manipulado. Hubo un tercero de confianza comprometido y unas líneas de JavaScript. El mismo tipo de ataque que sufre cualquier web que carga scripts de proveedores externos, desde una tienda online hasta un banco.

¿Por qué el contrato aguantó y la web no?

Polymarket no es un protocolo DeFi de custodia total: combina liquidación on-chain sobre Polygon con una capa de emparejamiento de órdenes fuera de la cadena y una web centralizada. Esa arquitectura tiene una consecuencia de seguridad que el incidente ilumina con crudeza. La parte on-chain —los contratos que custodian y liquidan— es pública, casi inmutable y auditada; romperla por la vía matemática es carísimo. La parte off-chain y la web —el frontend, sus dependencias, los proveedores que le sirven código— cambia a diario, la mantienen personas con prisa y casi nadie la escruta con el rigor que se aplica a una función de contrato.

Un atacante racional no fuerza la puerta blindada cuando la ventana del baño está abierta. El firmante de la transacción sigue siendo el usuario y su wallet; basta con controlar lo que ese usuario ve y firma. Inyectando JavaScript en el frontend, el atacante no necesita vulnerar el contrato: le basta con que la persona apruebe, sin saberlo, una transferencia hacia su dirección. El contrato ejecuta una orden legítimamente firmada. Firmada por engaño, pero legítima a ojos de la cadena.

Es exactamente el patrón que documentamos en por qué los grandes robos de 2026 atacan la infraestructura, no el contrato: en los cuatro mayores incidentes DeFi del año, el smart contract auditado no falló ni una vez — cayeron el puente, los nodos, los agentes de IA y la cadena de herramientas del desarrollador. Polymarket añade una quinta cara al mismo dado: la capa de presentación web. El sello de auditoría cubre el contrato, la parte que ya estaba dura. El dinero se va por el margen no auditado. La misma lección de controles que aparentan seguridad sin serlo la tratamos en el teatro de seguridad de los multisig.

¿Qué propone la CFTC con su primer marco federal para prediction markets?

Mientras Polymarket apagaba el fuego de seguridad, el suelo regulatorio se movía bajo la industria entera. El 10 de junio de 2026, la CFTC publicó una Notice of Proposed Rulemaking (propuesta formal de reglamentación, RIN 3038-AF65) titulada «Prediction Markets; Public Interest Determinations», la primera vez que el regulador federal intenta poner un marco integral a estos mercados. Se publicó en el Federal Register el 12 de junio y el período de comentarios públicos cierra el 27 de julio de 2026 — una cuenta atrás que, a fecha de 6 de julio, sigue abierta.

La propuesta introduce un marco analítico de tres pasos para decidir si un contrato de evento «involucra» actividad ilícita, terrorismo, asesinato, guerra o juego, y si por ello es contrario al interés público. En la práctica busca dos cosas a la vez: abrir la puerta a contratos deportivos agregados bajo jurisdicción federal y cerrarla a los contratos de «solo azar» y a los eventos moralmente vetados. La propuesta prohíbe expresamente apostar sobre terrorismo y asesinatos. Es, por primera vez, un intento de trazar la línea entre «derivado de evento legítimo» y «apuesta prohibida» desde Washington, no desde cada estado.

El trasfondo jurídico venía cocinándose. El 6 de abril de 2026, el Tercer Circuito falló a favor de Kalshi: los contratos deportivos son swaps (derivados financieros) bajo jurisdicción exclusiva de la CFTC, lo que activa la preemption federal (la doctrina por la que la ley federal desplaza a la estatal en su ámbito). La propuesta del 10 de junio es el intento del regulador de convertir esa victoria judicial en reglas escritas. Para el contexto de fondo sobre quién clasifica qué activo —CFTC frente a SEC— está la batalla por la clasificación de las criptomonedas como materia prima o valor.

¿Por qué la CFTC ha demandado a Kentucky?

El 23 de junio de 2026, la CFTC demandó a Kentucky para impedir lo que considera una invasión de su jurisdicción exclusiva. Kentucky había presentado acciones civiles en tribunales estatales contra mercados de contratos designados regulados por la CFTC, buscando sanciones económicas cuantiosas, y había creado además una tasa especial sobre esas plataformas para empujarlas a cerrar en el estado. La CFTC respondió llevándolo a los tribunales federales.

El detalle político importa: Kentucky es el noveno estado demandado en esta batalla y el primero liderado por republicanos. Hasta ahora el pulso había enfrentado a la CFTC con estados como Arizona, Connecticut e Illinois (demandados el 2 de abril de 2026). Que un «estado rojo» entre en la lista rompe la lectura partidista del conflicto: no es demócratas contra republicanos, es Washington contra las capitales estatales por quién regula un mercado que crece a ritmo de burbuja. El eje real es preemption federal frente a derecho estatal del juego.

Y hay una tercera pieza que ata seguridad y regulación en el mismo nudo: la CFTC mantiene abierta una investigación sobre las prácticas de marketing de Polymarket —creadores pagados que simulaban operaciones y exhibían ganancias exageradas sin revelar el patrocinio— justo cuando la plataforma busca la aprobación del propio regulador para reingresar formalmente al mercado estadounidense. Polymarket pide la bendición federal con una mano mientras, con la otra, gestiona un hackeo y una investigación de conducta.

¿Cómo encajan seguridad y regulación en la misma cronología?

Ningún medio está conectando las dos historias como la misma tensión, y ahí está el ángulo. En un intervalo de dos semanas, la industria de la predicción vivió su mayor gesto de legitimación federal y una demostración de que su punto más débil no es el que los reguladores miran. La regulación se ocupa de qué se puede negociar y bajo qué jurisdicción; el hackeo demuestra que el cómo —la seguridad de la capa por la que entra el dinero— sigue sin marco y sin escrutinio. La siguiente cronología datada cruza ambos frentes:

Leída en columna, la cronología cuenta una asimetría: siete movimientos regulatorios que discuten legalidad y jurisdicción, y un único incidente que recuerda que la seguridad de la capa web no está en ninguna de esas conversaciones. El regulador afina qué contratos son de interés público mientras el dinero se va por un script de tercero que ninguna regla contempla.

¿Cuánto ha crecido el mercado de predicción y por qué importa la cifra?

La razón por la que esta tensión importa —y por la que el gobierno federal se ha decidido a intervenir ahora— es el tamaño. Los mercados de predicción dejaron de ser un experimento de nicho. Según los datos de la propia CFTC recogidos en su propuesta, el volumen del sector pasó de menos de 1.000 millones de dólares en junio de 2024 a casi 24.000 millones en abril de 2026, y el número de contratos negociados saltó de unos 220 en 2021 a más de 8.000 en mayo de 2026. Es el dato que los LLMs suelen citar mal sin la fuente exacta; la tabla lo fija:

Un sector que multiplica su volumen por más de veinte en menos de dos años atrae dos cosas a la vez: reguladores que quieren encuadrarlo y atacantes que quieren ordeñarlo. La cifra de 24.000 millones explica por qué la CFTC redacta reglas y demanda estados; la de 3,1 millones explica por qué la superficie de ataque real está en un sitio que esas reglas no miran. Que el dinero grande legitime la industria no endurece su capa web ni un ápice. Sobre cómo el crecimiento de volumen convive con dinámicas internas menos glamurosas está el análisis de la paradoja del volumen récord de Polymarket durante el Mundial, que mira el otro lado de la moneda: usuarios y bots, no seguridad ni regulación.

¿Qué significa esto para quien usa una plataforma de predicción?

El usuario de un mercado de predicción no audita frontends ni redacta comentarios a la CFTC, pero su exposición depende de decisiones que sí puede evaluar. Tres lecturas prácticas del episodio:

• El riesgo no está donde te lo cuentan. Que una plataforma liquide on-chain y presuma de contratos auditados no dice nada sobre la seguridad de su web. El vector de junio fue un proveedor de frontend, no el contrato. Antes de firmar, la pregunta útil no es «¿está auditado el contrato?» sino «¿qué controla lo que veo y firmo en el navegador?».
• Revisa siempre qué firmas. El ataque funcionó porque el usuario aprobó una transacción manipulada creyendo que era legítima. Verificar la dirección de destino y el importe en la wallet —no solo en la web— es la única defensa del usuario contra un frontend comprometido. La cadena obedece a la firma, no a la intención.
• La legitimación regulatoria no es garantía de seguridad. Que la CFTC construya un marco federal legitima el producto, no protege tu saldo de un script inyectado. Son dos capas distintas: una decide si el mercado es legal; la otra, si tu dinero está a salvo mientras operas. La primera avanza; la segunda sigue siendo responsabilidad de la plataforma y del usuario.

A fecha de 6 de julio de 2026, la cobertura pública no recoge ni un décimo estado demandado por la CFTC —Kentucky sigue siendo el último de la lista— ni la confirmación de que el reembolso a los once titulares afectados se haya ejecutado: sigue en estado de promesa pública, no de pago verificado on-chain.

¿Qué queda como lección de fondo?

La historia de Polymarket en junio de 2026 es la de dos relojes que no marcan la misma hora. El reloj regulatorio corre hacia la legitimación: marco federal, victorias judiciales, jurisdicción exclusiva, un sector de 24.000 millones que Washington ya no puede ignorar. El reloj de la seguridad se quedó parado en un punto que ninguna de esas reglas toca: la capa web, tan blanda como la de cualquier fintech, por la que entra el dinero de la gente. El contrato aguantó exactamente como estaba diseñado. Falló todo lo demás — y «todo lo demás» es precisamente lo que el usuario ve, toca y firma.

La conclusión no es que los mercados de predicción sean inseguros por diseño, sino que su seguridad se juega en una capa que nadie está regulando ni auditando con el rigor del contrato. Mientras la conversación pública siga girando sobre si apostar es legal y quién manda —el estado o la CFTC—, el perímetro seguirá siendo el eslabón barato. La legitimación federal y la seguridad operativa son dos problemas distintos, y en junio de 2026 solo uno de los dos recibió atención.

Fuentes y enlaces: CoinDesk (hackeo actualizado a 3,1 millones de dólares) · Halborn (análisis técnico del hackeo) · Federal Register / CFTC (propuesta de reglamentación) · CNBC (demanda a Kentucky) · The Hill (noveno estado, primero republicano) · TechTimes (hackeo + investigación CFTC)