• A página de status registrou o incidente às 18h05 UTC como uma interrupção grave da API de negociação de previsões.
• Um trader chamado Car relatou uma perda de US$ 800.000 e disse que todas as suas posições foram vendidas.
• Segundo estimativas não verificadas, uma carteira suspeita de ter recebido os fundos atingiu o pico de US$ 2,68 milhões às 18h05 UTC.
Negociação suspensa na plataforma internacional
A Polymarket suspendeu todas as negociações em sua plataforma internacional na quinta-feira, após o comprometimento de um provedor terceirizado e relatos de usuários de que suas contas haviam sido esvaziadas. De acordo com a página de status da empresa, o problema que afetava o Polymarket.com foi identificado e corrigido, o provedor comprometido foi encaminhado às autoridades competentes e os usuários afetados serão “integralmente ressarcidos”. A plataforma não informou quantas contas foram atingidas nem o valor total levado. A suspensão abrange o serviço internacional baseado em carteiras digitais, no qual os usuários negociam em mercados de previsão por meio de contas sob sua própria custódia; a plataforma dos EUA, regulamentada separadamente e que opera sob uma licença da Commodity Futures Trading Commission (CFTC), não foi mencionada como afetada. Pouco depois da atualização da página de status, uma conta administrada pela comunidade publicou no X uma declaração quase idêntica, com a mesma redação oficial. Até a publicação desta notícia, não havia sido divulgado um cronograma para a retomada total das negociações.
Atualização (29 out., 19:11 UTC): O mesmo endereço, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, está codificado diretamente no script como destinatário alternativo, e os dados on-chain mostram a carteira do suposto invasor com cerca de US$ 2,65 milhões em POL após várias trocas de USDC.e por POL via Relay.
Modo somente cancelamento às 18:05 UTC
A página de status sinalizou o incidente pela primeira vez às 18:05 UTC de quinta-feira, classificando-o como uma grande interrupção da API de negociação da Predictions, o livro de ordens que combina as negociações do mercado de previsões. Naquele momento, a exchange estava em modo somente cancelamento: os usuários podiam cancelar ordens existentes, mas nenhuma nova ordem ou negociação era processada, e as ações do relayer — o serviço que envia transações on-chain em nome dos usuários — permaneceram pausadas. O acesso às contas, os feeds de websocket, os dados de posições e a liquidação na Polygon continuaram funcionando durante todo o período. Cerca de 32 minutos depois, às 18:37 UTC, a página mudou o status de “investigando” para “identificado” e atribuiu a falha ao provedor terceirizado comprometido. Os únicos tipos de ordem permitidos eram cancelamentos de ordens em aberto, enquanto o mecanismo de correspondência permanecia inativo, deixando os traders com posições expostas sem possibilidade de sair delas.
Prejuízos dos usuários e a alegação de US$ 2,68 milhões
Relatos de saques começaram a circular no X antes de a empresa confirmar qualquer coisa. Um trader que usa o nome Car afirmou em uma publicação no X que US$ 800.000 foram retirados de sua conta e que um amigo perdeu US$ 600.000, acrescentando que todas as suas posições foram vendidas. Outra conta, StarPlatinum, rastreou uma carteira que seria a destinatária dos fundos e que começou a recebê-los às 17:05 UTC; ela tinha US$ 412.000 às 17:25, chegou a US$ 2,02 milhões às 17:50 e atingiu o pico de US$ 2,68 milhões às 18:05. A conta estimou que a carteira destinatária acumulou 28,6 milhões de POL convertidos de saldos de depósitos dos usuários. A mesma conta também identificou um proxy do Deposit Wallet Factory e alegou que a infraestrutura de transações patrocinadas da Relay estava envolvida. Nenhum desses números foi confirmado: as declarações da empresa não informam o número de vítimas, o total de prejuízos nem o endereço do invasor, e nenhum hash de transação foi divulgado.
O ataque à interface da empresa em junho e um precedente de reembolso
O episódio lembra um incidente ocorrido em junho, quando um fornecedor terceirizado comprometido permitiu a inclusão de um script malicioso na interface da Polymarket para alguns usuários. As primeiras análises on-chain estimaram o prejuízo em US$ 2,94 milhões, distribuídos por pelo menos 11 carteiras; uma estimativa posterior chegou a US$ 3,1 milhões. Os fundos foram retirados em pUSD na Polygon, convertidos por meio da Relay, transferidos para a Ethereum e trocados por ETH. Na época, a empresa afirmou que havia removido a dependência afetada e reembolsaria integralmente os clientes prejudicados. Uma plataforma concorrente sofreu uma violação semelhante dias antes: a Predict.fun confirmou transferências não autorizadas de cerca de 400.000 USDT em uma declaração de 27 de outubro, apontando para um possível comprometimento de um site de documentação de API hospedado externamente e prometendo reembolso integral, além de uma análise detalhada do incidente. Um incidente ocorrido em dezembro, envolvendo um serviço de login com um clique, também apontou para o mesmo elo fraco: dependências de terceiros.
Pesquisadores de segurança da Hudson Rock identificaram um provável mecanismo de disseminação: um script carregado do DebugBear, um serviço de monitoramento de desempenho da web, continha código que procura a sessão de negociação de um usuário conectado e tenta vender suas posições e transferir os ativos. O mesmo endereço, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, está codificado diretamente no script como destinatário alternativo, e os dados on-chain mostram a carteira do suposto invasor com cerca de US$ 2,65 milhões em POL após várias trocas de USDC.e por POL via Relay. A Hudson Rock afirmou que o código do site de produção da Polymarket registra a remoção do script, mas a empresa não determinou como o comprometimento começou nem quantos usuários foram afetados. A Polymarket ainda não informou a causa.
Um padrão recorrente envolvendo terceiros
Três incidentes em cerca de dez meses, todos ocorridos por meio de dependências de fornecedores e não dos contratos on-chain, apontam para uma fragilidade estrutural no ecossistema dos mercados de previsão. A Polymarket opera na Polygon, uma rede de camada 2, e há muito deixou para trás seu modelo inicial de formador de mercado automatizado em favor de um livro de ordens centralizado. Ainda assim, a superfície de ataque está nas interfaces hospedadas, nos relayers e na infraestrutura de carteiras de depósito, que não são cobertos por nenhuma auditoria de contratos. Em cada caso, os fundos saíram assim que os usuários assinaram solicitações maliciosas, tornando as perdas definitivas no momento da confirmação. A postura da empresa de corrigir os problemas e compensar os clientes tem sido consistente, mas ela novamente não divulgou hashes de transação, um valor confirmado das perdas nem uma causa técnica raiz, limitando-se a identificar um terceiro. Até que esses detalhes sejam divulgados, transferir saldos ociosos para uma carteira fria e entender como funcionam as carteiras de hardware continua sendo a medida prática de proteção para usuários ativos.