Um secador de cabelo, um sensor meteorológico sem supervisão, duas operações cuidadosamente calculadas.

Nos dias 6 e 15 de abril de 2026, o sensor meteorológico do Aeroporto Charles de Gaulle em Paris foi aquecido por alguém usando um dispositivo de aquecimento portátil, e as leituras de temperatura subiram anormalmente em um curto período. A temperatura real do aeroporto não apresentou tal flutuação, mas o mercado preditivo da Polymarket para 'temperatura máxima diária em Paris' liquidou como de costume. Em duas operações, um total de 34.000 dólares foi transferido para uma conta anônima que foi aberta apenas dois dias antes do incidente.

Isso não foi um ataque típico de criptomoeda. Não explorou nenhuma vulnerabilidade de contrato inteligente, nem atacou nenhum processo de governança descentralizada. Todas as ferramentas do ataque foram simplesmente um secador de cabelo.

A temperatura subiu 4°C em 12 minutos, como um sensor enganou o mercado preditivo global?

Entre 18h30 e 18h42 do dia 6 de abril, a leitura de temperatura da estação meteorológica do Aeroporto Charles de Gaulle subiu 4°C em 12 minutos, atingindo um pico de 22,5°C, e logo depois caiu rapidamente em 5 minutos. A temperatura real em Paris naquele dia não apresentou tal flutuação drástica, e outras estações meteorológicas nas proximidades também não registraram anomalias similares.

Essa estação meteorológica (código: LFPG) está localizada à beira da pista do Aeroporto Charles de Gaulle, perto de uma área pública ao lado da estrada. A relativa acessibilidade física de sua localização permite que suspeitos se aproximem do sensor e realizem intervenções físicas.

Esse breve período de 'alta temperatura' coincidentemente acertou a opção '21°C' na Polymarket, um resultado que quase ninguém havia perguntado anteriormente, e foi liquidado como 'Sim' após os dados anômalos serem aceitos pela plataforma como a máxima do dia. Uma conta por trás levou cerca de 14.000 dólares.

Nove dias depois, por volta das 21h30 do dia 15 de abril, um roteiro quase idêntico se repetiu, em uma noite nublada e sem vento, a leitura de temperatura do Aeroporto Charles de Gaulle subiu estranhamente para 22°C. A probabilidade da opção '22°C' na Polymarket disparou de 0,1% para 95% em apenas 30 minutos. O segundo prêmio ultrapassou 20.000 dólares, ainda caindo na mesma conta.

Paul Marquis, fundador do E-Meteo Service da França e meteorologista, fez uma afirmação tecnicamente quase irrefutável: 'Naquela época, a direção do vento e a umidade relativa não mudaram, e outras estações meteorológicas nas proximidades não registraram nenhuma anomalia. A intervenção física é a explicação mais razoável, como colocar um dispositivo de aquecimento perto do sensor.'

O serviço meteorológico nacional da França (Météo-France) posteriormente fez uma inspeção física do sensor e encontrou vestígios de manipulação, e oficialmente apresentou uma queixa criminal à Gendarmerie de Transporte Aéreo de Roissy. A acusação é 'destruição do funcionamento de sistemas de processamento automático de dados'. De acordo com a lei francesa, essa acusação pode resultar em até 7 anos de prisão e multa de 300.000 euros.

O perfil da conta envolvida também não resiste a uma análise mais profunda. Foi criada apenas 48 horas antes do primeiro ataque, em 4 de abril de 2026. O capital inicial era de apenas algumas dezenas de dólares, transferido de uma exchange de criptomoedas. Quase não participou de outros mercados, focando apenas na opção de 'alta temperatura' de baixa probabilidade. Após duas operações bem-sucedidas, os fundos foram rapidamente transferidos por meio de mixers e exchanges descentralizadas, dificultando o rastreamento na blockchain.

De um lado, um secador de cabelo comum, com preço de varejo inferior a 30 euros; do outro, um mercado global de previsões climáticas com um volume diário superior a 2 milhões de dólares, a desigualdade entre o custo e o lucro do ataque é extrema.

Os dados anômalos foram inicialmente descobertos por entusiastas meteorológicos locais em um fórum da Infoclimat. O evento foi então disseminado pela comunidade cripto para o mundo de língua inglesa, com a Le Monde, Le Figaro e BFMTV seguindo com reportagens. A Polymarket não fez nenhuma declaração pública sobre o assunto, nem revogou os 34.000 dólares em prêmios já pagos.

Falha nas regras, por que a leitura de um único sensor deveria decidir um prêmio de seis dígitos?

O verdadeiro protagonista deste evento, mais do que aquele secador de cabelo, é o conjunto de regras de liquidação do mercado de clima da Polymarket.

O mercado de clima da Polymarket cresceu rapidamente nos últimos anos, atualmente com 173 mercados ativos, cobrindo temperatura, precipitação, furacões, tornados, terremotos, vulcões e até pandemias. O mercado de 'temperatura máxima diária em Paris' utiliza um mecanismo de liquidação extremamente simples, com a fonte de dados fixada em uma leitura de uma estação meteorológica específica hospedada no site Wunderground.

Antes deste evento, o local era a estação meteorológica do Aeroporto Charles de Gaulle (código LFPG), com temperaturas precisas até o grau Celsius. O mais crucial é que o mercado liquida imediatamente após os dados serem finalmente confirmados e 'não considera quaisquer revisões de dados subsequentes'.

Essa última informação significa que, mesmo que o serviço meteorológico francês descubra anomalias nos dados posteriormente e corrija os registros históricos, a Polymarket ainda pagará os prêmios com base nas leituras originais contaminadas. As regras estão escritas de forma clara, e a execução é inegociável.

As falhas se apresentam claramente em três pontos:

O primeiro ponto é a falha única. A liquidação do prêmio de seis dígitos depende totalmente da leitura de um único sensor. A Polymarket não projetou um mecanismo de ponderação multiponto, verificação redundante ou interrupção de valores anômalos, a chamada 'fonte de dados' é simplesmente aquele metal sensor à beira da pista do Aeroporto Charles de Gaulle.

O segundo ponto é a acessibilidade física. A estação meteorológica do Aeroporto Charles de Gaulle está localizada perto da borda da pista, adjacente a uma área pública ao lado da estrada, e qualquer pessoa comum pode chegar a poucos metros do sensor. Esse detalhe geográfico torna a 'intervenção física' uma operação de custo quase zero na prática.

O terceiro ponto é a rigidez do mecanismo de liquidação. Revisões posteriores são inválidas, o que significa que uma vez que o ataque é concluído, não há possibilidade de 'revogação'. As regras garantem a certeza da liquidação, mas também garantem que a manipulação, uma vez realizada, não pode ser revertida.

O analista Victor da Fibo Crypto deu a essa técnica um nome com uma estética técnica impressionante, 'ataque de profeta físico'. Diferentemente dos ataques de 'profeta digital' que manipulam resultados de oráculos por meio de votação em massa de tokens, o ataque de profeta físico contorna toda a lógica da cadeia e atua diretamente no primeiro quilômetro do pipeline de dados - o sensor de metal naquele mundo real.

17 de abril, dois dias após o evento ser exposto, a Polymarket discretamente realizou uma mudança nas regras, alterando a fonte de dados para o mercado de clima de Paris de Aeroporto Charles de Gaulle (LFPG) para Aeroporto de Le Bourget (LFPB). A troca não foi acompanhada de nenhum anúncio oficial, nenhuma explicação técnica pública, e nenhuma resposta às duas manipulações que já ocorreram.

Trocar por um novo sensor é muito mais simples do que admitir publicamente a falha. O mercado de clima da Polymarket foi inicialmente projetado como um espelho, refletindo o julgamento coletivo do mercado sobre o futuro. Mas quando a imagem no espelho se torna suficientemente valiosa, as odds suficientemente inclinadas, e o sensor suficientemente acessível, sempre haverá alguém que levará um secador de cabelo de 30 euros e soprará o resultado que deseja.