Comprometimento da Polymarket via fornecedor: script injetado drena cerca de 2,7 milhões de dólares de carteiras de usuários
A Polymarket, mercado de previsões cripto, chegou a pausar as negociações depois que um script malicioso plantado por meio de um fornecedor terceiro comprometido começou a drenar fundos das carteiras dos usuários. O monitoramento on-chain da Bubblemaps estima as perdas em cerca de 2,7 milhões de dólares, atingindo aproximadamente 700 usuários — números que a empresa não confirmou. As negociações já foram retomadas, e a Polymarket afirma que os usuários afetados serão reembolsados.
Um frontend confiável se tornou hostil
De acordo com reportagens que citam fontes do Wall Street Journal e pesquisadores de segurança blockchain, um script servido por um provedor de monitoramento de desempenho de sites foi alterado para identificar visitantes com uma sessão de negociação ativa e autenticada. Pesquisadores da Hudson Rock disseram que o código foi construído para liquidar posições e encaminhar o produto a um endereço controlado pelos atacantes, embutido no próprio script. Um oficial citado pelo Journal apontou a DebugBear, uma empresa britânica de monitoramento de desempenho de sites como o provedor envolvido; a companhia disse ter sido impactada por um incidente de segurança e pediu que clientes removessem seu código de incorporação. Essa atribuição continua sendo uma suspeita divulgada, não uma conclusão confirmada, embora a Polymarket tenha afirmado que seu próprio site não foi comprometido. A drenagem em si foi mapeada pela Bubblemaps, cujos analistas estimam que cerca de 2,7 milhões de dólares foram retirados de aproximadamente 712 carteiras de depósito antes que o fluxo fosse cortado. Os fundos roubados foram convertidos em POL, token nativo da Polygon, e dispersos em uma cadeia de endereços. A Polymarket não confirmou os números do monitoramento, e o mesmo trabalho on-chain mostrou que um relato amplamente compartilhado de perda pessoal de 800 mil dólares não se sustentou, porque o padrão de saques dessa carteira diferia do das demais vítimas.“Vamos consertar isso e estamos reembolsando integralmente todos os traders afetados.”A promessa veio enquanto a exchange atravessava o incidente em etapas: primeiro um modo apenas de cancelamento, em que ordens abertas podiam ser retiradas, mas novas ordens não podiam ser colocadas; depois, a suspensão do serviço de envio de transações; por fim, a retomada completa das negociações. A Polymarket encaminhou o caso às autoridades policiais do Reino Unido, onde o fornecedor fica sediado, e disse que a Polymarket US, a plataforma americana regulada em separado, não foi afetada.
Segundo comprometimento de origem externa no ano
Para a Polymarket, este é o segundo comprometimento de 2026 a partir de um fornecedor, e não da própria infraestrutura. Em junho, a empresa informou que um fornecedor terceiro havia sido comprometido, injetando um script malicioso em seu frontend para alguns usuários. O PUSD roubado, token de liquidação da Polymarket, foi transferido por ponte da Polygon para a Ethereum e convertido em cerca de 1.893 ETH, um espólio estimado em 2,94 milhões de dólares. Aquele dreno anterior atingiu um grupo bem menor, entre onze e quinze contas, mas seguiu a mesma lógica: código que chega por um canal confiável e executa dentro das páginas de um site do qual os usuários não tinham motivo algum para desconfiar. Um incidente em maio, no qual cerca de 700 mil dólares foram drenados de uma carteira interna de recarga por meio de uma chave privada comprometida, fica fora desse padrão de fornecedor. Ainda assim aponta na mesma direção: a segurança dos fundos dos usuários em uma plataforma de negociação vai muito além do perímetro da própria plataforma.Por que ataques de cadeia de suprimentos ao frontend funcionam tão bem
Um domínio legítimo com anos de histórico pode servir código hostil por horas antes que alguém perceba, e nenhum alerta de phishing será disparado, porque nada na página é falso. O cadeado, o favorito, a grafia correta do endereço continuam dizendo “confie em mim”. Os dois incidentes da Polymarket usaram exatamente essa confiança como superfície de ataque, e é isso que separa essa classe de ataque do phishing comum e a torna mais difícil de notar no momento.- Mantenha saldos pequenos em hot wallets conectadas ao navegador e trate-os como dinheiro de bolso, não como poupança.
- Prefira carteiras de hardware ou salvaguardas de wallet que simulem transações e sinalizem aprovações inesperadas antes da assinatura.
- Revise periodicamente as aprovações de tokens vigentes e revogue o que não for mais necessário.
- Quando uma plataforma anunciar um comprometimento de frontend ou de fornecedor, encerre a sessão, feche as demais sessões e considere que tudo o que foi assinado na janela do incidente merece reavaliação.