A Polymarket suspendeu as negociações durante cerca de uma hora em 29 de outubro de 2026, depois de um script de terceiros comprometido ter permitido que atacantes vendessem as posições dos utilizadores e movimentassem os seus fundos sem autorização, informou a Cointribune. As perdas foram estimadas em pelo menos 2,6 milhões de dólares, distribuídos por mais de 700 contas.

Os traders relataram vendas não autorizadas e saldos esvaziados, incluindo um utilizador que afirmou ter perdido 800 mil dólares e outro cuja conta ficou sem os 600 mil dólares que continha. A Polymarket comprometeu-se a reembolsar todas as pessoas afetadas e afirmou que encaminhou o caso para as autoridades britânicas.

Principais fatos

• O incidente começou em 29 de outubro na plataforma internacional Polymarket.com; as negociações foram colocadas em modo de "somente cancelamento" antes de todos os serviços serem restabelecidos.

• A Cointribune informou que mais de 700 contas foram afetadas, com perdas de pelo menos US$ 2,6 milhões, enquanto a CoinCentral citou dados rastreados pela DeFi Llama que apontavam cerca de US$ 2,7 milhões em perdas — os veículos não apresentam um total único consensual, e a Polymarket não divulgou um valor final.

• Uma análise on-chain citada pela Cointribune mostrou 28,6 milhões de tokens POL, avaliados em cerca de US$ 2,57 milhões, distribuídos por várias carteiras.

• A blockchain Polygon e os principais contratos inteligentes da Polymarket não foram comprometidos; o ataque foi executado por meio de um script de monitoramento fornecido pela empresa britânica DebugBear, que reconheceu um "incidente de segurança em andamento".

• A Cointribune informou que houve uma violação anterior em junho, quando um provedor terceirizado diferente foi comprometido e cerca de US$ 3 milhões foram roubados de menos de quinze contas; a CoinCentral estimou as perdas de junho em mais de US$ 2,9 milhões.

Um script de rastreamento, não uma blockchain comprometida

Segundo a Cointribune, as primeiras análises on-chain apontam para a DebugBear, uma empresa britânica cujo serviço Real User Monitoring usa um script incorporado às páginas dos clientes para medir tempos de carregamento. Depois que essa infraestrutura foi comprometida, o script teria sido substituído ou modificado para executar código malicioso, que verificava se um visitante estava conectado à Polymarket e, em seguida, usava a sessão ativa para vender posições e transferir ativos. A DebugBear pediu a seus clientes que removam o código incorporado.

Essa distinção é importante para entender o incidente. Os invasores não falsificaram uma transação on-chain nem quebraram a lógica dos contratos do mercado de previsão; eles sequestraram a camada web que prepara e autoriza as operações. Pesquisadores da Hudson Rock identificaram no código malicioso um endereço que recebia os fundos.

Duas violações, um ponto fraco

A CoinCentral informou que a Polymarket disse que um de seus provedores terceirizados foi comprometido e que sua API de negociação de previsões sofreu uma "grande interrupção", mas o comunicado não identificou o provedor. A CoinCentral também observou que, às 19h05 UTC de quinta-feira, a página de status da plataforma indicava que todos os sistemas estavam operacionais, e identificou Shayne Coplan como fundador e CEO.

Os dois incidentes seguem o mesmo padrão: os pontos de entrada foram provedores externos, não os sistemas da própria Polymarket. A Cointribune estima que as perdas combinadas dos dois episódios somam quase US$ 5,6 milhões em poucos meses.

Por que isso importa

O reembolso limita o prejuízo financeiro direto para os traders, mas não restaura ao mesmo estado uma posição encerrada durante um mercado volátil. Os usuários afetados pela violação mantêm seus fundos em uma plataforma sem custódia, mas uma sessão válida e um único script comprometido foram suficientes para movimentar seu dinheiro — uma brecha que a simples posse da carteira não elimina. A repetição do incidente amplia o escrutínio: em vez de se concentrar em um único fornecedor que falhou, a atenção passa a ser como a Polymarket controla quais scripts são executados em seu site.

O que observar

A Polymarket não comunicou um valor final das perdas nem os termos do reembolso, e a Cointribune informou que o número exato de vítimas ainda precisa ser determinado. Como a plataforma calculará a compensação — apenas pelos fundos desviados ou também pelo valor das posições vendidas sem consentimento — é o próximo detalhe concreto a acompanhar.

Publicado originalmente na CoinPulseHQ: https://coinpulsehq.com/polymarket-hack-700-accounts-2-6-million/