ZachXBT señala a Polyarb como un mercado de predicciones falso con un drenador de monedero activo

El investigador onchain ZachXBT ha advertido que Polyarb, un sitio que se presenta como una plataforma de mercados de predicción, está ejecutando un vaciador activo de wallets y está ganando alcance gracias a cuentas cripto prominentes que responden a sus publicaciones.

Conclusiones clave:

• ZachXBT advirtió el 4 de mayo de 2026 que Polyarb aloja un vaciador activo de wallets que apunta a usuarios cripto.
• Cuentas prominentes que responden a publicaciones de Polyarb amplifican la estafa a nuevas audiencias sin darse cuenta.
• La alerta se produce tras la reciente exposición de ZachXBT de un bufete de abogados en EE. UU. que buscaba $71 millones en fondos congelados vinculados a Lazarus.

Qué está haciendo Polyarb

Los vaciadores de wallets funcionan disfrazando una aprobación de contrato inteligente malicioso como una transacción rutinaria, de modo que cuando un usuario conecta su wallet y firma una acción que parece un depósito, un reclamo o una entrada al mercado, el vaciador activa una aprobación separada oculta que otorga al atacante acceso total a los fondos de la wallet.

Fuente de imagen: X ZachXBT destacó específicamente un riesgo de amplificación, es decir, una cuenta cripto prominente había respondido a una publicación de Polyarb, dándole a la plataforma un alcance orgánico que de otro modo no lograría. Responder al contenido de una plataforma de estafa, incluso de forma escéptica, coloca esa plataforma frente a toda la audiencia del usuario que responde, que puede llegar a millones, sin indicios de que la fuente sea maliciosa.

Parte de un fenómeno más amplio

Las plataformas falsas de finanzas descentralizadas (DeFi) y de mercados de predicción se han convertido en un vector de ataque cada vez más común en 2026. Los operadores de estafas aprovechan la mayor visibilidad de plataformas legítimas como Polymarket y Kalshi, ambas con relaciones regulatorias divulgadas con la Commodity Futures Trading Commission (CFTC), creando sitios gemelos con branding similar y sin contratos auditados.

ZachXBT ha construido un historial consistente de exponer estas y otras amenazas relacionadas antes de que se acumulen pérdidas significativas. A principios de este mes, el investigador reveló que un bufete de abogados de EE. UU. (Gerstein Harrow) había presentado reclamaciones para incautar $71 millones en ethereum congelado tras el exploit de KelpDAO de abril de 2026 vinculado al Grupo Lazarus, utilizando un fallo legal de 2015 contra Corea del Norte para adelantarse a las víctimas reales del hack en cualquier cola de recuperación.

Cómo mantenerse a salvo

Antes de conectar una wallet a cualquier plataforma de mercados de predicción o DeFi, los usuarios deberían verificar la dirección del contrato frente a la documentación oficial de la plataforma y confirmar que existe una auditoría pública de contrato inteligente por parte de una firma de seguridad reconocida. Las señales de alerta incluyen que no se divulgue una relación regulatoria, que no existan contratos auditados y perfiles en redes sociales que aparecieron recientemente en relación con el nivel de actividad que afirman tener.

Revocar las aprobaciones de tokens después de cualquier interacción sospechosa mediante herramientas como Revoke.cash puede limitar la exposición en curso si el vaciador ya se activó. Usar una wallet de hardware, en lugar de una hot wallet basada en navegador que mantenga fondos significativos, al conectarse a plataformas desconocidas, puede aportar una capa adicional de protección, ya que cada transacción requiere confirmación física.