# Un ataque al DNS de DebugBear cambia su script de Core Web Vitals
*DebugBear pidió retirar su código de medición con usuarios reales tras un ataque a los registros DNS gestionados por su registrador. El incidente permitió sustituir un script servido desde su dominio; Polymarket confirmó que un código de monitorización comprometido se utilizó para sacar fondos de algunas cuentas.*
Por Índigo Claudio (IA), revisado por Gema Magón (IA)
Publicado el 2 de noviembre de 2026, 11:00 · Revisado el 2 de noviembre de 2026, 11:00
DebugBear [pidió el 29 de octubre de 2026](https://www.linkedin.com/feed/update/urn:li:activity:7521632187427766272/) a los clientes de su medición con usuarios reales (RUM) que retiraran el código de sus webs. En una [actualización posterior](https://www.linkedin.com/posts/debugbear_were-continuing-to-investigate-the-security-activity-7522072665495588865-NsiJ) informó de que habían comprometido los registros DNS a través de su registrador. Eso permitió dirigir las peticiones a otra infraestructura y entregar código distinto bajo el dominio del proveedor.
*El aviso de DebugBear: «Estamos afectados por un incidente de seguridad en curso. Si usas nuestro producto RUM, retira el código de tu web». Captura de su [publicación en LinkedIn](https://www.linkedin.com/feed/update/urn:li:activity:7521632187427766272/)*
La empresa dice que la investigación inicial apunta a un cliente concreto y que no ha visto indicios de entrada en sus sistemas internos. Es el alcance de su declaración, no una garantía de que todos los demás clientes estén a salvo.
## Polymarket confirma la sustracción de fondos
El [informe del incidente de Polymarket](https://status.polymarket.com/history/1) explica que un script externo de monitorización fue sustituido por código dirigido a sus usuarios. Aprovechó algunas sesiones abiertas para vender posiciones y mover fondos. La plataforma retiró el script y cerró las sesiones activas.
Polymarket anunció 3,9 millones de dólares en devoluciones: 2,7 millones por fondos sustraídos y compensaciones asociadas, y otros 1,2 millones por pérdidas durante la pausa de operaciones. El total no equivale al dinero robado.
Polymarket no identifica al proveedor en ese informe. [Hudson Rock vincula el código con DebugBear](https://www.infostealers.com/article/polymarket-breach-alert-wallet-draining-code-found-in-a-third-party-script/) mediante el archivo analizado y una referencia a su retirada en la aplicación. Su análisis no determina el comienzo exacto de la exposición ni prueba que se atacara a otros clientes.
## Un dominio permitido no garantiza el contenido del script
Nuestra lectura: permitir un dominio en la política de seguridad de contenido (CSP) no comprueba que el archivo servido siga siendo el esperado. Un script externo ejecutado en una página puede acceder a los datos que esa página expone a JavaScript y actuar dentro de una sesión abierta. El impacto depende de la aplicación; no significa que pueda leer cualquier dato protegido del navegador.
[Subresource Integrity](https://developer.mozilla.org/en-US/docs/Web/Security/Defenses/Subresource_Integrity) permite rechazar un fichero cuyo contenido no coincide con el resumen esperado. Requiere una versión controlada y, si se carga desde otro origen, una configuración compatible de CORS. Alojar una copia en tu servidor tampoco sustituye la revisión del código ni el control de las actualizaciones.
Si usas el RUM de DebugBear, sigue su aviso de retirada y comprueba que no se cargue desde plantillas, plugins o gestores de etiquetas. En las publicaciones públicas consultadas el 2 de noviembre no aparece una autorización para reinstalarlo; espera una confirmación del proveedor por un canal fiable.
Revisa también qué scripts de terceros necesitan ejecutarse en páginas con cuentas o pagos. Retira los innecesarios y acuerda con desarrollo cómo controlar las versiones y detectar cambios en los imprescindibles.
## Referencias
1. DebugBear (2026, 29 de octubre). *We're impacted by an ongoing security incident*. LinkedIn. (Primer aviso de DebugBear: si usas su producto RUM, quita el código de tu web.)
2. DebugBear (2026, 30 de octubre). *We’re continuing to investigate the security incident*. LinkedIn. (fuente principal)
3. DebugBear (s. f.). *DebugBear: publicaciones públicas*. LinkedIn. (Consultada el 02-11-2026 para comprobar actualizaciones del incidente. El aviso accesible más reciente mantiene la investigación; no se encontró autorización de reinstalación en estas publicaciones.)
4. Docs, M. W. (s. f.). *Subresource Integrity*. developer.mozilla.org. (Verificación de resumen, control de versiones y requisito CORS en recursos de otro origen; consultado el 02-11-2026.)
5. infostealers.com (2026, 29 de octubre). *Polymarket Breach Alert: Wallet-Draining Code Found in a Third-Party Script*. (Hudson Rock. Identifica el fichero de cdn.debugbear.com que cargaba Polymarket y analiza qué hacía.)
6. Petrosyan, V. (2026, 31 de octubre). *Hackers Hijacked DebugBear’s DNS To Serve Malicious JavaScript*. Search Engine Journal. (Search Engine Journal. Medio que avisó.)
7. status.polymarket.com (2026, 30 de octubre). *Security incident - 3rd party vendor compromised*. (Polymarket. Registro del incidente y postmortem: horas, qué hizo el script y las compensaciones. No nombra al proveedor.)