A Polymarket adicionou uma nova configuração que permite aos traders enviar saques apenas para carteiras pré-aprovadas.
O recurso chega cerca de duas semanas depois que um script comprometido drenou aproximadamente US$ 2,7 milhões das contas de usuários.
O que faz o novo bloqueio de saques da Polymarket?
Josh Stevens, vice-presidente de engenharia da Polymarket, anunciou na segunda-feira que a plataforma adicionaria um novo recurso que permitirá aos traders enviar saques apenas para carteiras previamente aprovadas. O anúncio foi feito em uma publicação no X, na conta @devjoshstevens.
Adicionar um novo endereço de carteira à conta de um usuário exige apenas duas etapas. O trader deve confirmar a solicitação por e-mail e, em seguida, aguardar 48 horas. Se não tiver iniciado a solicitação, poderá cancelá-la diretamente pelo e-mail.
Com essa medida em vigor, os invasores não poderão mais enviar dinheiro para uma nova carteira sem passar pela verificação por e-mail e aguardar os dois dias exigidos. Stevens disse que o objetivo é garantir que os invasores não possam enviar dinheiro para nenhum endereço que não seja controlado pelo usuário.
No entanto, o bloqueio não resolve a causa raiz da violação sofrida pela Polymarket há apenas duas semanas. Esse ataque resultou no desvio de cerca de US$ 2,7 milhões das contas dos usuários. Ele foi realizado por meio de um script de terceiros executado no site da Polymarket, com acesso a sessões ativas.
A Polymarket enfrentou esse tipo de problema no início deste ano, em junho, quando sofreu um ataque por meio do script de um fornecedor, que resultou no desvio de cerca de US$ 3 milhões de pelo menos 11 carteiras, segundo reportagens anteriores da Cryptopolitan. Uma violação ocorrida em dezembro de 2025 em um provedor de autenticação também afetou contas de usuários.
Todos esses casos envolveram um fornecedor externo, mas nada os liga a um único invasor.
Como aconteceu o ataque à Polymarket e o que vem a seguir?
Em 29 de outubro, a Polymarket suspendeu as negociações em sua plataforma internacional depois que invasores assumiram o controle de um script da DebugBear, empresa britânica que monitora a velocidade de sites. O script foi substituído por um código criado para esvaziar carteiras.
Pesquisadores da Hudson Rock descobriram que o código verificava se um visitante tinha uma sessão iniciada na Polymarket. Em seguida, lia os saldos e as posições em aberto dessa pessoa. Por fim, usava as próprias ferramentas de negociação do site para vender posições e enviar o dinheiro para uma carteira controlada por um invasor.
A Hudson Rock também descobriu que o código do site da Polymarket registrou a remoção do script. A Polymarket disse que encaminhou o caso às autoridades policiais.
A Bitquery informou que os invasores retiraram US$ 2,73 milhões de 737 contas em cerca de uma hora, entre 17h10 e 18h10 UTC. Eles realizaram 985 saques, todos com uma aprovação válida. Por isso, os contratos inteligentes os trataram como ações legítimas dos usuários.
Uma conta perdeu US$ 358.369 em um único saque, enquanto 276 contas perderam menos de US$ 100 cada. Outros 33 usuários também tiveram ações de mercados de previsão retiradas.
A Polymarket afirmou que compensará integralmente todos os seus usuários, mas as pessoas que perderam menos de US$ 10.000 serão reembolsadas primeiro.
A Binance e a Polymarket também pediram aos validadores da Polygon que aprovem um hard fork. Um hard fork é uma alteração no software da rede que todos os validadores precisam adotar. Neste caso, a proposta transferiria cerca de 70,49 milhões de tokens POL congelados, avaliados em cerca de US$ 6,5 milhões, para fora das carteiras dos invasores. A proposta foi publicada em 4 de novembro e apresentada em uma chamada de governança da Polygon em 5 de novembro. Uma votação e uma data ainda estão pendentes.
Outras empresas também estão reforçando a segurança. Na terça-feira, a empresa de segurança CertiK teria afirmado, após o ataque de US$ 6,3 bilhões à Binance, que as corretoras deveriam estabelecer limites fixos em dólares para o valor mantido em carteiras quentes, em vez de depender apenas de proporções de armazenamento a frio.
Se você está lendo isto, já está um passo à frente. Continue assim com a nossa newsletter.