La Copa Mundial termina hoy. Para mucha gente, fue su primera introducción a las criptomonedas. Los mercados de predicción son la razón. Ofrecieron a los aficionados al fútbol una nueva forma de apostar por los resultados de los partidos. Y esta forma de apostar parece más fiable y transparente que usar casas de apuestas tradicionales. Aparentemente, las casas de apuestas se tomaron en serio esta competencia y usaron su poder de lobby para que el mercado de predicción más conocido, Polymarket, fuera prohibido en varios países. Durante el torneo propiamente dicho, Polymarket fue prohibido o añadido a la lista de plataformas ilegales en la República Checa y Francia. India, Indonesia y España tomaron medidas similares poco antes de que comenzara el torneo, mientras que Brasil y Argentina lo hicieron a principios de la primavera.
¿Por qué los aficionados al fútbol que gustan de apostar eligen cada vez más plataformas como Polymarket en lugar de casas de apuestas tradicionales? Porque en los mercados de predicción todo parece más claro, justo y fiable que en una casa de apuestas. Todas las complejidades asociadas con las criptomonedas están ocultas a la vista. Puedes registrarte con Google, o conectar MetaMask, Trust Wallet u otra wallet. Entonces solo tienes que elegir un resultado y apostar la cantidad que estés dispuesto a arriesgar.
Pero detrás de esa simplicidad se esconden amenazas que incluso usuarios de criptomonedas relativamente experimentados pueden no conocer. Imagina lo vulnerables que pueden ser los principiantes completos, sobre todo cuando están inmersos en la emoción de las apuestas.
Estas son las amenazas que quiero tratar en el artículo de hoy.
Dónde Polymarket es realmente más justo que una casa de apuestas
Cuando haces una apuesta con una casa de apuestas tradicional, la propia compañía es tu contraparte. Calcula las cuotas, incorpora su margen de beneficio, asume el riesgo de un determinado resultado y puede cambiar las condiciones, limitar el tamaño de tus apuestas o negarse a aceptarlas por completo.
Polymarket utiliza un modelo diferente. Tu contraparte es otro usuario de la plataforma como tú. La única diferencia entre vosotros es vuestra opinión sobre el resultado de un partido u otro evento. Supongamos que ese usuario apuesta 0,60 USD por un resultado con la esperanza de recibir 1 USD, mientras tú apuestas 0,40 USD por el resultado contrario para recibir el mismo dólar. Vuestras órdenes se emparejan automáticamente, creando un par totalmente colateralizado de tokens "Yes" y "No". Una vez finalizado el evento, uno de esos tokens puede canjearse por 1 USD, según el resultado final.
Todo en Polymarket es más flexible que en cualquier casa de apuestas. Cada usuario puede ver todas las órdenes enviadas por otros participantes en el libro de órdenes y fijar su propio precio. También pueden vender su apuesta antes de que termine el evento si cambian de opinión, o si el mercado se mueve a su favor y la posición ya es rentable. En este sentido, Polymarket se parece más a un exchange que a una casa de apuestas.
El liquidado se realiza mediante contratos inteligentes en la red Polygon. Un contrato inteligente no puede conocer el resultado de un partido u otro evento del mundo real. Por lo tanto, alguien que participe en el mercado tiene que presentar ese resultado. Puedes hacerlo tú mismo. Y si te equivocas, cualquier otro participante puede impugnar tu decisión. La disputa se somete entonces a votación por los titulares del token UMA, y el resultado de esa votación se considera definitivo. Esto es mucho más transparente que el proceso interno cerrado de una casa de apuestas.
Pero la transparencia no implica necesariamente seguridad para el usuario.
Polymarket no es tan descentralizado como parece
Polymarket a veces se describe como una casa de apuestas descentralizada. Pero ambas palabras en esa frase son inexactas. Primero, no es una casa de apuestas, porque no fija las cuotas ni asume el riesgo de ningún resultado. Segundo, hay muy poco en Polymarket que sea genuinamente descentralizado.
La documentación de Polymarket llama a su sistema de trading "híbrido-descentralizado". Las órdenes son emparejadas por un operador centralizado. El gas para registrar las operaciones en la blockchain se paga a través de la pasarela de la plataforma, lo que significa que una operación no puede completarse sin la cooperación de la plataforma. Cada nuevo mercado lo crea el equipo. Aunque acepta sugerencias de la comunidad, los usuarios no pueden crear nuevos mercados por sí mismos. El equipo de Polymarket también redacta los criterios de resolución y selecciona las fuentes que luego se utilizarán para determinar el resultado.
Estos son todos ejemplos de un enfoque centralizado. Entonces, ¿qué queda exactamente descentralizado? Para ser honesto, no lo sé. Quizá solo la composición del propio mercado. Cualquiera puede operar.
A primera vista, la resolución de disputas es un proceso descentralizado. Pero el contrato inteligente que ejecuta la decisión alcanzada mediante votación está controlado por un administrador con autoridad para determinar los pagos manualmente. Curiosamente, una de las direcciones de administrador de Polymarket, que posee esa autoridad, está marcada como comprometida en Polygonscan.
Incluso las reglas de un mercado ya abierto pueden, a veces, ser aclaradas de forma central por el equipo. Polymarket puede publicar lo que llama "contexto adicional", que se pide a los participantes que consideren durante el proceso de resolución de disputas. Estas aclaraciones se registran en la blockchain y, según las reglas, no deberían cambiar el significado original de la pregunta. Pero la mera necesidad de tal mecanismo muestra cuánto depende del redactado preparado por un equipo centralizado.
Así que los usuarios aquí dependen tanto de los administradores de la plataforma como lo harían con las casas de apuestas tradicionales.
El precio en pantalla no siempre es tu precio
Imagina que antes de un partido, las casas de apuestas ofrecen cuotas de 1,25 por tu resultado elegido. En otras palabras, necesitas apostar 0,80 USD para ganar 1 USD. Al mismo tiempo, Polymarket muestra que la probabilidad de tu resultado es del 75%. ¿Significa eso que puedes comprar tokens "Yes" por 0,75 USD? Puedes, siempre y cuando alguien esté dispuesto a poner 0,25 USD por el resultado contrario. Pero no hay garantía de que alguien lo haga.
La probabilidad que se muestra en Polymarket suele ser el punto medio entre la mejor oferta y la mejor demanda.
Por ejemplo, si la oferta es de 0,70 USD y la demanda de 0,80 USD, la pantalla puede mostrar 75%. Pero comprar de inmediato costará al menos 0,80 USD, mientras que vender de inmediato solo traerá 0,70 USD. Si el spread es mayor de 0,10 USD, Polymarket muestra el precio de la operación más reciente en lugar del punto medio, y ese precio puede diferir del mercado actual por varias veces.
Los mercados futbolísticos principales suelen tener suficiente liquidez para que la diferencia entre la probabilidad mostrada y el precio realmente disponible sea pequeña. Pero en eventos de nicho, cualquiera que planee una operación grande también debe mirar cuántas órdenes contrarias están disponibles.
Las cuotas de una casa de apuestas pueden ser peores e incluir un margen opaco. Pero el usuario normalmente ve de inmediato el precio al que se aceptará la apuesta.
Los precios se forman de manera más justa en Polymarket, pero los usuarios aún necesitan saber cómo leerlos. No todo el mundo actuando bajo la influencia de la emoción es capaz de hacerlo.
Cada apuesta es una interacción con una wallet Web3
Cada cliente de una casa de apuestas entrega dinero a la compañía, que entonces es responsable de mantenerlo seguro. Un usuario de Polymarket también entrega dinero —criptomonedas o stablecoins— a la plataforma, pero a partir de ese momento, el usuario asume toda la responsabilidad.
A cambio de los activos transferidos a Polymarket, el usuario recibe los tokens internos de la plataforma —pUSD. Tienen casi nula circulación fuera de la plataforma. Son algo así como fichas de casino: se pueden usar para apuestas o intercambios, y luego devolver a la plataforma a cambio de activos cripto ordinarios.
Técnicamente, sin embargo, estos tokens se almacenan en la wallet personal del usuario, y esa wallet debe usarse para firmar cada transacción.
Incluso cuando te registras con Google, se crea para ti una wallet Web3 dedicada y se incrusta en la interfaz del sitio de Polymarket. A esa wallet solo se puede acceder a través de tu navegador, lo que significa que solo tú eres responsable de mantener los fondos en ella seguros.
Cuando se usa una wallet externa, entran en juego firmas, aprobaciones y direcciones. El usuario siempre ve una ventana técnica de wallet Web3 pidiéndole que confirme una transacción. Pero la firma EIP-712 utilizada en este proceso parece un galimatías técnico para cualquiera sin conocimientos profundos de tecnología blockchain. Pregúntate: ¿entiendes personalmente siempre exactamente lo que estás firmando? Estoy seguro de que muchas personas responderían "no". De otro modo, no veríamos tantas historias deprimentes sobre usuarios de wallets Web3 perdiendo grandes sumas tras firmar transacciones de phishing.
En rabbit.io, evitamos deliberadamente conectar las wallets de los clientes a nuestro sitio cuando creas órdenes de intercambio. En su lugar, simplemente proporcionamos una dirección a la que necesitas enviar la criptomoneda. Copias esa dirección en tu wallet y luego confirmas una transacción que tú mismo has creado. Es claro y seguro.
En Polymarket, sin embargo, cada transacción se genera automáticamente mediante scripts en el sitio web. No necesitas copiar nada en ninguna parte. Todo lo que tienes que hacer es pulsar un botón de confirmación en la ventana emergente de la wallet. Y eso se convierte en la base de una estafa particularmente peligrosa.
El marcador de páginas que puede vaciar tus fondos
A medida que Polymarket se hace más popular, también aumenta el número de ofertas que prometen formas de ganar dinero apostando con scripts automatizados o agentes de IA. Busca en YouTube formas de ganar 1.000 USD en Polymarket en una semana, y encontrarás muchas opciones. No las enlazaré porque no quiero atraer atención a esos vídeos. La mayoría son estafas.
La persona detrás del vídeo proporciona un enlace a un bot o a un "asistente de IA". Lo sigues y ves instrucciones: "Abre tu navegador, crea un nuevo marcador, copia este código en el campo de dirección del marcador y guarda."
Haces lo que te indican. Un marcador aparece en la barra de tu navegador. Parece nada más que un enlace guardado necesario para lanzar un bot sofisticado que funcione con la interfaz de Polymarket.
Luego abres Polymarket y haces clic en el marcador. En ese momento, tu wallet queda vaciada.
El código almacenado en el marcador hace lo siguiente:
- Lee datos desde tu navegador, incluidas direcciones de wallet, saldos y tokens de autenticación.
- Determina cómo iniciaste sesión: con Google o con una wallet.
- Si iniciaste sesión con Google, utiliza un iframe oculto para firmar una transacción de retirada.
- Si iniciaste sesión mediante una wallet, te pide que firmes un mensaje estructurado EIP-712 que parece una formalidad técnica incomprensible.
- Envía el dinero a la dirección del estafador.
No hay a quién culpar por la pérdida ni a quién responsabilizar. Tú añadiste el código a tu navegador tú mismo. Hiciste clic en el marcador tú mismo. Desde el punto de vista del navegador, fue tu acción.
Este esquema se está extendiendo más ampliamente por dos razones. Primero, muy poca gente entiende qué es EIP-712, por qué el navegador pide permiso o qué cubre ese permiso. Segundo, el estafador no necesita hackear Polymarket ni desarrollar un exploit sofisticado. Todo lo que necesita es persuadir a alguien para que pegue un fragmento de código. Cuando la promesa es dinero fácil en un área tan prometedora como los mercados de predicción, eso no es especialmente difícil.
Por qué la Copa Mundial fue el momento perfecto para los estafadores
La ingeniería social en la industria de las criptomonedas es especialmente efectiva cuando se dan tres condiciones al mismo tiempo:
- Los usuarios tienen mucho dinero.
- Una nueva audiencia llega sin hábitos establecidos de seguridad en criptomonedas.
- Hay una enorme demanda de consejos, estrategias, señales y "métodos secretos".
La Copa Mundial creó las tres condiciones en Polymarket a la vez.
Un aficionado al fútbol entiende por qué una selección nacional es más fuerte que otra, pero no entiende la diferencia entre conectar una wallet, iniciar sesión con Google, firmar un mensaje, otorgar permiso a un contrato inteligente y enviar una transacción. Por eso el creador de un video estafa puede parecer más experto simplemente porque demuestra un uso confiado de una plataforma que el espectador ha oído mucho pero nunca ha utilizado.
Las casas de apuestas tradicionales también son imitadas por sitios de phishing, y las cuentas de casas de apuestas se roban con malware. Pero las casas de apuestas tienen procedimientos de reclamación y asumen responsabilidad por el dinero retenido en las cuentas de los usuarios. Además, por cada suma implicada, la casa de apuestas, el cliente y el regulador saben quién es el propietario, porque a todos los clientes de casas de apuestas reguladas se les exige verificar su identidad. Esto no cambia el hecho de que una casa de apuestas pueda imponer reglas que le permitan restringir a un jugador exitoso, anular una apuesta o retrasar la revisión de un retiro. Pero es poco probable que pueda robar tu dinero directamente.
Si un estafador obtiene una firma criptográfica válida y transfiere los activos a su propia dirección, sin embargo, a menudo no queda nadie con quien discutir. Un contrato inteligente no sabe si autorizaste la firma conscientemente o si fuiste engañado para proporcionarla. Para el contrato, una firma es válida o no lo es.
¿Es Polymarket realmente más peligroso que una casa de apuestas tradicional?
Para un principiante en criptomonedas, puede que sí. El peligro proviene de amenazas que un usuario inexperto ni siquiera sabe que existen.
Polymarket es más transparente que una casa de apuestas tradicional en cuanto a formación de precios, acceso a datos de mercado, trading entre participantes y liquidación onchain. La plataforma no es tu oponente permanente en cada posición y no tiene interés en verte perder.
Pero una casa de apuestas suele ser más segura cuando los usuarios dependen de formas conocidas de protección al consumidor: recuperación de cuenta, disputas de pago y la posibilidad de presentar una queja. Polymarket se esconde detrás de una fachada de "híbrido descentralizado" para evitar la responsabilidad legal por las pérdidas sufridas por sus usuarios.
Hoy, los aficionados al fútbol están haciendo su última apuesta por el ganador. Y espero que si decides hacer una apuesta así en Polymarket por primera vez, este artículo te haya ayudado a evitar los principales errores: no confundirás el precio mostrado con el punto medio, no confundirás una firma técnica con una transacción de retirada ni tomarás un programa que vacía wallets por un marcador útil del navegador.
