Polymarket interrompe operações por uma hora após ataque cibernético

Polymarket suspendeu suas negociações por cerca de uma hora após o desvio de pelo menos 2,6 milhões de dólares pertencentes a seus usuários. O ataque não visou a blockchain em si, mas uma ferramenta de medição de desempenho integrada ao site, revelando uma vulnerabilidade frequentemente negligenciada em plataformas não custodiais.

Um simples script de monitoramento abriu o acesso às contas

O incidente começou em 29 de outubro na plataforma internacional Polymarket.com. Usuários relataram a venda de suas posições e a transferência de seus ativos sem autorização. Um deles afirmou ter perdido 800 mil dólares, enquanto outra conta teria sido esvaziada de 600 mil dólares.

Polymarket inicialmente mudou seu mercado para o modo “cancel-only”. Os traders podiam cancelar suas ordens existentes, mas não podiam mais realizar novas operações. As ações do serviço responsável por transmitir as transações assinadas para a blockchain também foram suspensas.

As informações disponíveis permitem reconstruir as principais etapas do incidente :

• Uma solução terceirizada integrada ao site foi comprometida ;
• Um código JavaScript malicioso teria alvejando sessões já conectadas ;
• As posições de certos usuários foram vendidas sem seu consentimento ;
• Os ativos obtidos foram então enviados para um endereço controlado pelo atacante ;
• Mais de 700 contas teriam sido afetadas, para pelo menos 2,6 milhões de dólares ;
• Polymarket promete ressarcir integralmente as vítimas.

A interrupção durou uma hora. A plataforma então anunciou ter corrigido o problema e restabelecido todos os seus serviços. Garantiu, além de informar que enviou o caso às autoridades britânicas:

Qualquer pessoa afetada será integralmente indenizada.

O valor definitivo, no entanto, ainda não foi comunicado. As estimativas baseiam-se principalmente nos movimentos observados para um endereço atribuído ao atacante. O número exato de vítimas e os detalhes do ressarcimento também permanecem a serem esclarecidos.

A blockchain estava intacta, mas a interface do Polymarket não estava mais

As primeiras análises on-chain indicam DebugBear, uma empresa britânica especializada no monitoramento do desempenho de sites web. Seu serviço Real User Monitoring baseia-se em um script integrado às páginas de seus clientes para medir os tempos de carregamento e a experiência dos visitantes.

Após a comprometimento dessa infraestrutura, o script legítimo teria sido substituído ou modificado para incluir um código malicioso. Ele verificava se o visitante estava conectado ao Polymarket, e então tentava usar sua sessão ativa para vender suas posições e transferir seus ativos.

Pesquisadores da Hudson Rock identificaram nesse código um endereço usado como destinatário dos fundos. A análise da blockchain mostra que 28,6 milhões de tokens POL, avaliados em cerca de 2,57 milhões de dólares, foram então distribuídos entre várias carteiras.

DebugBear reconheceu estar enfrentando “um incidente de segurança em andamento” e pediu a seus clientes que removam seu código integrado. Esse mecanismo traz uma nuance essencial. O atacante não teria quebrado o Polygon, falsificado uma transação on-chain nem comprometido o contrato central do mercado preditivo. Ele teria desviado a camada web usada para preparar e autorizar as operações.

Uma plataforma pode, portanto, permanecer tecnicamente não custodial, mas expor seus usuários por meio de sua interface. Quando o navegador carrega um componente externo, esse fornecedor herda indiretamente uma posição de confiança. Se ele for comprometido, o código exibido na tela pode se tornar mais perigoso do que uma falha no próprio protocolo.

Dois ataques semelhantes expõem um risco estrutural

O episódio é ainda mais preocupante por não ser um caso isolado. Em junho, a compromissão de outro prestador já permitira a injeção de um código malicioso na interface do Polymarket. Cerca de 3 milhões de dólares foram então roubados de menos de quinze contas.

Somando os dois incidentes, quase 5,6 milhões de dólares teriam sido desviados em poucos meses por meio de fornecedores terceirizados. A repetição desloca o debate: o problema não está mais apenas em um prestador falho, mas na forma como o Polymarket controla os scripts executados em seu site.

A promessa de reembolso limita a perda financeira direta para os traders, sem eliminar o risco operacional. Uma posição vendida durante um mercado volátil nem sempre pode ser recomposta idênticamente. A indenização deverá, portanto, determinar se cobre apenas os fundos desviados ou também o valor das posições encerradas contra a vontade dos usuários.

O incidente lembra finalmente que uma carteira pessoal não protege contra todos os cenários. Uma sessão conectada, uma autorização ainda válida ou uma assinatura obtida por meio de uma interface comprometida podem ser suficientes. Para o Polymarket, o verdadeiro desafio agora consiste em reduzir as dependências externas e impedir que uma ferramenta secundária possa novamente comandar operações financeiras.