Un secador de pelo manipuló el mercado meteorológico de Polymarket y se llevó 34.000 dólares
Autor: 0x2333, 律动
Un secador de pelo, un sensor meteorológico sin vigilancia y dos intervenciones calculadas al milímetro. El 6 y el 15 de abril de 2026, los sensores del Aeropuerto de París-Charles de Gaulle fueron calentados con dispositivos portátiles, provocando picos anómalos de temperatura durante unos minutos. La temperatura real en Charles de Gaulle no mostró esas oscilaciones, pero el mercado de predicción de Polymarket sobre la "temperatura máxima diaria en París" se liquidó con normalidad. En ambos episodios, un total de 34.000 dólares en premios salió de la plataforma hacia una cuenta anónima creada dos días antes.
No fue el típico ataque cripto. No hubo explotación de vulnerabilidades en contratos inteligentes ni maniobras contra la gobernanza descentralizada. La herramienta fue tan mundana como un secador de pelo.
El 6 de abril, entre las 18:30 y las 18:42, la lectura del observatorio del aeropuerto subió 4°C en 12 minutos hasta un máximo de 22,5°C y cayó de nuevo con rapidez en los cinco minutos siguientes. No se registraron fluctuaciones similares ni en París ni en estaciones cercanas. La estación (código: LFPG) está situada en el borde de la pista, próxima a una zona accesible al público junto a una carretera, lo que facilita acercarse al equipo y alterar físicamente la sonda.
Ese breve "golpe de calor" encajó de lleno con la opción "21°C" en Polymarket, un resultado que hasta entonces apenas despertaba interés. Al aceptar la plataforma el dato anómalo como máxima del día, esa opción se resolvió como "Sí" y una cuenta se embolsó cerca de 14.000 dólares.
Nueve días después, alrededor de las 21:30 del 15 de abril, el guion se repitió: noche nublada y sin viento, y la lectura de Charles de Gaulle subió de forma inexplicable hasta 22°C. En solo 30 minutos, la probabilidad de la opción "22°C" saltó del 0,1% al 95%. Un segundo pago, de más de 20.000 dólares, fue a parar a la misma cuenta.
Paul Marquis, fundador de EMeteo Service y meteorólogo, ofreció una valoración difícil de rebatir: "No hubo cambios en la dirección del viento ni en la humedad relativa, y ninguna estación cercana registró anomalías. La explicación más plausible es una interferencia física, como colocar un dispositivo de calor junto a la sonda". MétéoFrance inspeccionó el sensor y halló indicios de manipulación, por lo que presentó una denuncia ante la Gendarmería de Transporte Aéreo de Roissy. El delito se califica como "alteración del funcionamiento de un sistema automatizado de tratamiento de datos", con una pena máxima de siete años de prisión y 300.000 euros de multa según la legislación francesa.
El perfil de la cuenta también levanta sospechas: se creó el 4 de abril de 2026, 48 horas antes del primer episodio. Partía de un saldo inicial de apenas unas decenas de dólares, ingresados desde un exchange. Operó casi exclusivamente en mercados de "Tiempo en París", comprando opciones de "temperatura máxima" con probabilidades ínfimas. Tras acertar dos veces, los fondos se movieron con rapidez a través de mezcladores y exchanges descentralizados, complicando el rastreo on-chain.
El desequilibrio es evidente: un secador doméstico por menos de 30 euros frente a un mercado global de predicción climática con más de 2 millones de dólares de volumen diario. La anomalía la detectaron primero aficionados franceses a la meteorología en el foro de Infoclimat. De ahí saltó a la comunidad cripto y al ámbito anglosajón; después informaron Le Monde, Le Figaro y BFMTV. Polymarket no ha publicado un comunicado ni ha revertido los 34.000 dólares ya pagados.
El punto clave no era el secador, sino las reglas de liquidación. Los mercados meteorológicos de Polymarket han crecido con fuerza y suman 173 mercados activos sobre temperatura, precipitaciones, huracanes, tornados, terremotos, volcanes e incluso pandemias. El mercado "Temperatura máxima diaria en París" utilizaba un mecanismo muy simple: la liquidación dependía en exclusiva de las lecturas de una estación concreta publicadas en Wunderground. Hasta el incidente, la fuente era la estación del Aeropuerto Charles de Gaulle (LFPG), con temperaturas redondeadas al grado Celsius. Y, sobre todo, la liquidación se ejecutaba en cuanto el dato quedaba fijado, "sin tener en cuenta revisiones posteriores".
Esa cláusula es determinante: incluso si MétéoFrance corrige más tarde los registros históricos por detectar un dato contaminado, Polymarket pagaría igualmente en base a la lectura original. Las reglas estaban escritas con claridad y se aplicaban sin margen.
La fragilidad del sistema se resume en tres puntos. Primero, un único punto de fallo: todo el bote, de seis cifras, dependía de un solo sensor, sin promedios entre estaciones, verificaciones redundantes ni filtros de valores atípicos; la "fuente" era, en la práctica, una única sonda metálica junto a la pista. Segundo, la accesibilidad física: la ubicación, próxima a una zona pública junto a una autopista, reduce la "intervención física" de hipótesis a realidad casi sin coste. Tercero, la rigidez: las revisiones a posteriori no cuentan, de modo que, si el ataque funciona, no hay forma de deshacerlo.
El analista de Fibo Crypto, Victor, bautizó el método como "Physical Oracle Attack". A diferencia de ataques previos contra oráculos digitales (por ejemplo, manipular votaciones de gobernanza de UMA para influir en resultados), el ataque físico se salta la lógica on-chain y golpea el primer tramo del flujo de datos: la sonda en el mundo real.
El 17 de abril, dos días después de hacerse público el caso, Polymarket actualizó discretamente sus reglas y cambió la fuente del mercado meteorológico de París de Charles de Gaulle (LFPG) a París-Le Bourget (LFPB). El cambio se realizó sin anuncio oficial, sin documentación técnica pública y sin responder a los dos episodios ya manipulados.
Sustituir una sonda es más fácil que reconocer una vulnerabilidad. El mercado meteorológico de Polymarket pretendía ser un espejo del juicio colectivo sobre el futuro. Cuando ese reflejo pasa a valer lo suficiente, las cuotas se vuelven atractivas y el sensor está al alcance, siempre habrá alguien dispuesto a acercarse con un secador de 30 euros y soplar el resultado que le conviene.
