El bot de trading de nivel superior Polycule en Polymarket ha sido atacado. ¿Cómo deben los proyectos de mercados de predicción fortalecer su seguridad?

null 一、Evento de resumen rápido

El 13 de enero de 2026, Polycule confirmó oficialmente que su robot de trading en Telegram fue hackeado, robándose aproximadamente 230,000 dólares en fondos de usuarios. El equipo actualizó rápidamente en X: el robot fue retirado, se implementaron parches de reparación con rapidez y se prometió que los usuarios afectados en Polygon serían compensados. Desde anoche hasta hoy, varias rondas de anuncios han mantenido en aumento la discusión sobre la seguridad en el sector de robots de trading en Telegram.

二、Cómo funciona Polycule

La propuesta de Polycule es clara: permitir a los usuarios realizar navegación de mercados, gestión de posiciones y manejo de fondos en Polymarket a través de Telegram. Los módulos principales incluyen:

Registro y panel: /start asigna automáticamente una billetera Polygon y muestra el saldo, /home y /help ofrecen accesos y explicaciones de comandos.

Mercados y trading: /trending, /search, y pegar directamente la URL de Polymarket permiten obtener detalles del mercado; el robot ofrece órdenes de mercado/límite, cancelación de órdenes y visualización de gráficos.

Billetera y fondos: /wallet permite consultar activos, retirar fondos, intercambiar POL/USDC y exportar la clave privada; /fund guía en el proceso de recarga.

Puente entre cadenas: integración profunda con deBridge, ayuda a los usuarios a transferir activos desde Solana y deduce automáticamente un 2% en SOL para convertir en POL para pagar Gas.

Funciones avanzadas: /copytrade abre la interfaz de copia de trading, permitiendo seguir operaciones por porcentaje, monto fijo o reglas personalizadas, además de configurar pausas, seguimiento inverso y compartir estrategias.

El Polycule Trading Bot se encarga de interactuar con los usuarios, interpretar instrucciones, gestionar claves en segundo plano, firmar transacciones y monitorear eventos en la cadena.

Tras ingresar /start, se genera automáticamente una billetera Polygon y se guarda la clave privada, permitiendo posteriormente enviar comandos como /buy, /sell, /positions para consultar, ordenar y gestionar posiciones. El robot también puede analizar enlaces web de Polymarket y devolver directamente la entrada a la operación. Los fondos entre cadenas dependen de la integración con deBridge, soportando puente de SOL a Polygon y deduciendo un 2% en SOL para convertir en POL para pagos de Gas. Funciones más avanzadas incluyen Copy Trading, órdenes límite y monitoreo automático de billeteras objetivo, que requieren un servidor en línea y firma automática de transacciones.

三、Riesgos comunes del robot de trading en Telegram

Detrás de una interacción conversacional conveniente, existen varias vulnerabilidades de seguridad difíciles de evitar:

Primero, casi todos los robots almacenan las claves privadas de los usuarios en sus servidores, firmando las transacciones en nombre del usuario. Esto significa que si el servidor es comprometido o se filtran datos por error, los atacantes pueden exportar en masa las claves privadas y robar todos los fondos de los usuarios de una sola vez. Segundo, la autenticación depende de la cuenta de Telegram; si el usuario sufre secuestro de SIM o pérdida del dispositivo, el atacante puede controlar la cuenta del robot sin necesidad de conocer la frase semilla. Finalmente, no hay una confirmación local emergente — en las billeteras tradicionales, cada transacción requiere confirmación del usuario, pero en modo robot, si la lógica del backend tiene errores, el sistema puede transferir fondos automáticamente sin que el usuario se entere.

四、Aspectos específicos de ataque revelados por la documentación de Polycule

Combinando el contenido de la documentación, se puede inferir que los riesgos principales de este incidente y futuros potenciales se concentran en los siguientes puntos:

Interfaz de exportación de claves privadas: el menú /wallet permite exportar la clave privada, indicando que el backend almacena datos de claves reversibles. Si existen vulnerabilidades como inyección SQL, interfaces no autorizadas o filtraciones en logs, los atacantes podrían usar esta función para exportar claves, coincidiendo con el escenario del robo.

Posible explotación de SSRF en análisis de URL: el robot fomenta que los usuarios envíen enlaces de Polymarket para obtener información del mercado. Si la validación de entrada no es rigurosa, un atacante puede falsificar enlaces hacia redes internas o metadatos de servicios en la nube, permitiendo que el backend caiga en una trampa y robe credenciales o configuraciones.

Lógica de monitoreo en Copy Trading: copiar operaciones implica que el robot siga en sincronía las acciones de una billetera objetivo. Si los eventos monitoreados pueden ser falsificados o si el sistema carece de filtros de seguridad, los usuarios que siguen pueden ser llevados a contratos maliciosos, con fondos bloqueados o incluso transferidos directamente.

Puente entre cadenas y conversión automática: el proceso de convertir automáticamente un 2% de SOL en POL involucra tasas de cambio, deslizamiento, oráculos y permisos de ejecución. Si estos parámetros no se validan correctamente, los hackers pueden amplificar pérdidas en el intercambio o transferir el presupuesto de Gas. Además, si la validación de los recibos de deBridge es deficiente, existe riesgo de recargas falsas o entradas duplicadas.

五、Recomendaciones para el equipo del proyecto y los usuarios

El equipo del proyecto puede hacer lo siguiente: entregar una revisión técnica completa y transparente antes de reanudar el servicio; realizar auditorías específicas en almacenamiento de claves, aislamiento de permisos y validación de entradas; revisar los controles de acceso en servidores y el proceso de publicación de código; introducir confirmaciones secundarias o límites en operaciones clave para reducir daños futuros.

Los usuarios finales deben considerar limitar el monto de fondos en el robot, retirar ganancias oportunamente y activar medidas de protección como la doble verificación en Telegram y gestión en dispositivos independientes. Antes de que el equipo brinde garantías de seguridad claras, es recomendable esperar y no añadir más fondos.

六、Epílogo

El incidente de Polycule nos recuerda una vez más: cuando la experiencia de trading se reduce a un comando de chat, las medidas de seguridad también deben actualizarse. Los robots de trading en Telegram seguirán siendo una vía popular para mercados predictivos y Meme Coins a corto plazo, pero este campo también será un objetivo constante para los atacantes. Recomendamos a los proyectos integrar la seguridad como parte del producto y comunicar avances a los usuarios; los usuarios, por su parte, deben mantenerse alerta y no confiar en atajos de chat como gestores de activos sin riesgo.

En ExVul Security, nos especializamos en investigación de ofensiva y defensiva en robots de trading y infraestructura en cadena, ofreciendo auditorías de seguridad, pruebas de penetración y servicios de respuesta ante incidentes para robots en Telegram. Si su proyecto está en desarrollo o en línea, contáctenos en cualquier momento para eliminar potenciales riesgos antes de que se materialicen.

Sobre nosotros ExVul

ExVul es una empresa de seguridad Web3 que ofrece auditorías de contratos inteligentes, auditorías de protocolos blockchain, auditorías de billeteras, pruebas de penetración en Web3, consultoría y planificación de seguridad. Nos dedicamos a mejorar la seguridad general del ecosistema Web3, manteniéndonos a la vanguardia en investigación de seguridad en Web3.