Un Secador de Pelo Venció al Oráculo de Polymarket y Generó $35K en París

Alguien presuntamente se acercó a un sensor meteorológico de Météo-France desprotegido, ubicado cerca del perímetro de la pista del aeropuerto Charles de Gaulle, con una fuente de calor portátil, provocó un pico de temperatura de 4°C en 12 minutos y cobró aproximadamente €30.000 (~$35.000) de los mercados de predicción de temperatura en París de Polymarket — sin tocar una sola línea de código blockchain.

Polymarket liquidaba todas las apuestas de temperatura en París contra un único sensor de Météo-France situado cerca del perímetro de la pista del CDG, accesible y sin vigilancia. La regla de liquidación de la plataforma dependía de la temperatura máxima diaria registrada. El 6 de abril, ese sensor registró una lectura superior a 22°C — aproximadamente 4°C por encima del consenso meteorológico regional de ~18°C — durante una ventana de 12 minutos. Un usuario había colocado apuestas exactamente sobre ese resultado improbable y cobró el pago. Un pico anómalo casi idéntico apareció el 15 de abril, coincidiendo nuevamente con posiciones ganadoras.

El análisis de los investigadores franceses apuntó a una interferencia deliberada: la temperatura subió bruscamente y luego regresó a los niveles ambientales — un patrón inconsistente con la variación atmosférica y consistente con una fuente de calor localizada aplicada directamente a la carcasa del sensor. La brevedad de la manipulación — el tiempo justo para establecer el máximo diario — sugiere que el atacante comprendía los mecanismos precisos de liquidación antes de realizar las apuestas.

Météo-France presentó posteriormente una denuncia criminal formal ante la brigada de gendarmería de transporte aéreo en Roissy, citando "alteración del funcionamiento de un sistema automatizado de procesamiento de datos". No se han anunciado detenciones públicamente.

Polymarket no revirtió ninguno de los pagos. En cambio, la plataforma cambió silenciosamente su fuente de datos de temperatura en París a un sensor ubicado en el aeropuerto de Paris-Le Bourget. La no-respuesta — mantener las ganancias fraudulentas intactas mientras se cambiaba silenciosamente el feed de datos — plantea preguntas directas de gobernanza para cualquier empresa que considere mercados de predicción o liquidación on-chain de eventos del mundo real: ¿quién asume la responsabilidad cuando se confirma la manipulación del oráculo pero los pagos se mantienen?

Para los arquitectos que construyen sobre infraestructura de contratos inteligentes, el incidente es una demostración clara de la fragilidad de los oráculos. La capa blockchain en sí nunca fue comprometida; la superficie de ataque era completamente física y off-chain. La agregación de oráculos de múltiples fuentes — promediando lecturas de sensores distribuidos geográficamente con rechazo de valores atípicos — habría neutralizado por completo este vector. Proveedores como Chainlink, Pyth y UMA han publicado diseños de referencia para exactamente este patrón, pero la adopción no es universal, especialmente en mercados de predicción más pequeños que se apresuran a listar nuevos contratos de eventos del mundo real.

El episodio de Polymarket no será el último. A medida que los mercados on-chain se expanden para cubrir precios de electricidad, rendimientos de cultivos, retrasos de vuelos y otros datos derivados de sensores, el incentivo económico para manipular la superficie de ataque de menor costo — un dispositivo físico, no infraestructura criptográfica — escala proporcionalmente. Las revisiones de seguridad para cualquier pipeline de datos del mundo real que alimente un sistema de liquidación financiera ahora deben incluir controles de acceso físico junto a las habituales auditorías de contratos inteligentes. Un secador de pelo acaba de demostrar ese argumento de forma empírica.