A Polymarket afirmou que uma invasão por um fornecedor terceirizado, descoberta na quinta-feira, permitiu que atacantes injetassem código malicioso na interface do site, levando a uma campanha de phishing que mirou múltiplos usuários. Segundo o analista de blockchain Specter, o script injetado foi usado para drenar cerca de US$ 2,94 milhões de pelo menos 11 carteiras da Polymarket.
A Polymarket declarou que o incidente foi contido e que a dependência comprometida foi removida. A plataforma também afirmou que os usuários afetados receberão reembolsos integrais. A Cointelegraph entrou em contato com a Polymarket para comentar, mas não obteve resposta antes da publicação.
Principais conclusões
O Polymarket reportou um comprometimento de um fornecedor terceirizado que permitiu que atacantes injetassem um script malicioso no seu front-end.
O analista Specter vinculou o código malicioso a atividades de phishing, estimando perdas de cerca de US$ 2,94 milhões em pelo menos 11 carteiras de usuários.
O Polymarket disse que o problema foi contido, que uma dependência foi removida e que os usuários serão reembolsados integralmente.
Os dados de comunicação de segurança blockchain indicam que o incidente se encaixa em um volume alto de violações de cripto no trimestre.
Separadamente, os dados da DefiLlama mostram que o comprometimento de chave privada ainda permanece como a principal causa das perdas de exploração reportadas nos últimos 30 dias.
Comprometimento do front-end e perdas de carteiras impulsionadas por phishing
O incidente do Polymarket se concentra em uma falha tipo cadeia de suprimentos, e não em um exploit direto de contrato inteligente. A Specter disse que o script malicioso parecia habilitar um ataque de phishing que redirecionou ou induziu usuários a comprometer credenciais ou autorizações, culminando em movimentação não autorizada de ativos a partir das carteiras dos usuários.
Na prática, esse tipo de comprometimento do front-end pode ser especialmente danoso para instituições e equipes de conformidade porque desloca o perfil de risco para além da mecânica on-chain apenas. Mesmo quando contratos permanecem inalterados, o código malicioso na camada web pode manipular o comportamento do usuário, comprometer premissas de segurança relacionadas a sessões ou induzir usuários a assinarem transações prejudiciais. Para entidades reguladas que integram ou direcionam o acesso do usuário a serviços cripto, incidentes como este destacam a necessidade de uma governança de fornecedores mais rígida e de controles contínuos de integridade sobre dependências servidas externamente.
A resposta do Polymarket sugere que o componente afetado foi identificado e removido após a descoberta. Seu compromisso de reembolsar totalmente os usuários também levanta considerações operacionais e de política: embora reembolsos possam mitigar danos ao usuário, eles não abordam automaticamente se os controles subjacentes — como processos de atualização de software de terceiros, monitoramento de dependências e playbooks de resposta a incidentes — foram suficientes para evitar recorrência.
O relatório de violações da DefiLlama destaca um padrão de métodos de exploração recorrentes
O caso do Polymarket chega enquanto a comunicação de incidentes de segurança em cripto permanece elevada. Os dados da DefiLlama colocam o evento em uma linha do tempo mais ampla: as estatísticas do segundo trimestre até o momento do segundo trimestre, segundo a referência do Cointelegraph à DefiLlama e seu relatório sobre o Q2, indicam que o trimestre teve o período mais hackeado por número de incidentes.
DefiLlama também informa que, em junho, as perdas por exploração de cripto reportadas totalizaram US$ 74,9 milhões em 29 incidentes, superando o total de maio de US$ 60,5 milhões, mas ficando bem abaixo do pico de abril, de US$ 644 milhões.
Entre os maiores incidentes de junho estavam um exploit do Humanity Protocol de US$ 36 milhões, um exploit na ponte da Secret Network de US$ 4,7 milhões, dois exploits distintos da Aztec avaliados em US$ 2,1 milhões cada e um exploit de ponte de US$ 1,7 milhão ligado ao Taiko. Embora cada exploit envolva caminhos técnicos diferentes, eles reforçam coletivamente uma realidade-chave de conformidade: a frequência e a magnitude dos incidentes continuam a pressionar o gerenciamento de risco operacional em exchanges, carteiras e provedores de serviços com exposição no nível de protocolo.
O detalhamento da DefiLlama sobre perdas nos últimos 30 dias aponta o comprometimento de chave privada como o vetor principal mais comum, respondendo por 43% das perdas de exploração reportadas. Exploits de “prova falsa” representaram 10%, e honeypots de reverse MEV responderam por 8%. Para equipes de risco, essas categorias importam porque indicam se os controles devem priorizar gerenciamento de chaves, integridade de assinatura/autorização ou salvaguardas de roteamento de transações para sistemas automatizados e integradores.
Histórico de chave privada no Polymarket destaca múltiplas superfícies de ameaça
Cerca de um mês antes do incidente reportado no front-end do Polymarket, o mercado de previsão divulgou um exploit adicional rastreado a uma chave privada com seis anos de idade usada para operações internas de recarga. O Cointelegraph já havia reportado que o Polymarket afirmou que contratos e fundos dos usuários permaneceram seguros nesse caso anterior e que todas as permissões associadas à chave comprometida foram revogadas.
Juntas, as duas ocorrências destacam que o Polymarket — ou qualquer serviço cripto com pontos de contato on-chain e off-chain — pode enfrentar múltiplas superfícies de ameaça distintas: gerenciamento de chaves do back-end para processos operacionais e dependências entregues via web para interações voltadas aos usuários. Para partes interessadas institucionais, a combinação pode dificultar a garantia: mesmo quando uma área de controle é remediada (por exemplo, permissões revogadas após um problema com chave), um plano de controle separado — como a integridade de dependências de terceiros — ainda pode introduzir novos riscos.
A escala do Polymarket também sugere apostas mais altas para a governança de incidentes. A DefiLlama relata que a plataforma mantém mais de US$ 450 milhões em valor total bloqueado, acima dos US$ 112 milhões de um ano antes.
Implicações regulatórias e de conformidade para empresas cripto e integradores
Embora o Polymarket opere em um mercado com regulamentação em evolução, incidentes desse tipo alimentam diretamente as expectativas de conformidade para negócios cripto. Sob estruturas como a regulamentação Markets in Crypto-Assets (MiCA) da União Europeia, as empresas são esperadas a cumprir obrigações de governança e resiliência operacional, enquanto exigências de AML/CFT sob regimes aplicáveis normalmente se estendem aos processos de “conheça seu cliente” e à proteção dos fundos dos usuários. Comprometimento da cadeia de suprimentos e roubo via phishing também levantam questões para contrapartes reguladas sobre como alegações de proteção de ativos do cliente são substanciadas na prática.
Para exchanges, provedores de carteira, processadores de pagamento e provedores de serviços institucionais, incidentes vinculados a fornecedores podem levar a uma revisão interna adicional sob políticas de gerenciamento de risco de terceiros. Áreas comuns incluem: o gerenciamento do ciclo de vida das dependências, a auditabilidade dos pipelines de build e implantação do front-end, procedimentos de detecção e contenção de incidentes e a adequação de políticas de reembolso ou restituição. Mesmo que o furto tenha origem fora do código on-chain, os danos aos usuários ainda podem se traduzir em escrutínio regulatório sobre proteção ao consumidor, divulgações e controles de risco operacional.
Diferenças transfronteiriças nas prioridades de aplicação da lei também podem complicar a resposta. Nos Estados Unidos, onde ações de enforcement de cripto frequentemente abordaram segurança, proteção ao consumidor e alegadas falhas em controles de conformidade, e onde agências federais coordenam por meio de processos legais e intimações, um incidente de phishing conduzido pelo front-end ainda pode ser enquadrado como falha em manter salvaguardas razoáveis. Separadamente, obrigações de AML/KYC não impedem phishing, mas podem afetar como os fundos roubados são identificados, como usuários afetados são apoiados e como atividades suspeitas são triadas.
Para monitoramento de conformidade institucional, o elemento mais acionável é o próprio padrão do incidente: comprometimento de terceiros levando à desinformação do usuário, juntamente com vetores persistentes de exploração como comprometimento de chaves. Esses temas sugerem que a governança deve abranger tanto controles técnicos (gerenciamento de chaves, permissões, integridade de transações) quanto controles administrativos (supervisão do fornecedor, garantia de cadeia de suprimentos de software e medidas de resposta documentadas).
Visão de encerramento
O Polymarket diz que a dependência comprometida foi removida e que os usuários afetados serão reembolsados. A próxima fase provavelmente envolverá validação detalhada pós-incidente da cadeia de suprimentos comprometida, verificação de exposição residual em toda a pilha de entrega do front-end e alinhamento contínuo dos controles técnicos com as expectativas de conformidade que as instituições aplicam para proteção de clientes e resiliência operacional. A comunicação de incidentes de segurança continuará sendo um ponto de referência importante para avaliar se este caso reflete um padrão mais amplo de risco sistêmico ou uma falha isolada de fornecedor.
Este artigo foi originalmente publicado como Polymarket Hit by Third-Party Breach Drains $2.9M, Raises Compliance Risks on Crypto Breaking News — sua fonte confiável para notícias de cripto, notícias de Bitcoin e atualizações de blockchain.