A plataforma de mercados de previsões Polymarket foi forçada a suspender temporariamente suas operações na quarta-feira, 29 de outubro, após hackers comprometendo um provedor de software terceirizado conseguirem drenar fundos de criptomoedas das carteiras de alguns usuários. O incidente, que durou cerca de uma hora, destaca uma ameaça crescente nos ecossistemas de criptoativos: não são mais os protocolos da plataforma em si que estão sob ataque, mas a cadeia de suprimentos de software que eles dependem.
A Polymarket anunciou o incidente às 14h05 no horário do Leste (ET), quando colocou sua plataforma internacional em modo de "cancelamento apenas" e pausou as ações dos relays enquanto investigava. Às 14h37, a empresa anunciou que o problema havia sido corrigido e que as negociações estavam suspensas "por excesso de cautela". As negociações foram retomadas aproximadamente uma hora depois, com o incidente marcado como resolvido às 15h05 ET. "As negociações estão completamente de volta ao ar", escreveu a Polymarket em post na rede social X. "Vamos resolver isso e reembolsar totalmente todos os traders afetados."
O ataque explorou um serviço de monitoramento de desempenho web chamado DebugBear, uma empresa do Reino Unido que fornece JavaScript de "Real User Monitoring" (RUM). A Polymarket tem um snippet do DebugBear embutido em seu site, e os hackers injetaram código malicioso na versão distribuída por esse serviço. O script malicioso, hospedado no domínio `cdn.debugbear.com`, foi construído em 29 de outubro às 13h59 ET, minutos antes da Polymarket anunciar publicamente o incidente.
Pesquisadores de segurança da Hudson Rock identificaram um script JavaScript distribuído por meio de `cdn.debugbear.com/C7xcKKrjUnXK.js` que foi projetado para sequestrar sessões autenticadas de trading da Polymarket, liquidar as posições dos usuários nos mercados de previsões e transferir criptomoedas e outros ativos para uma carteira controlada pelos atacantes. O malware também tentava converter as criptomoedas dos usuários em ativos que poderiam ser transferidos para a carteira dos hackers, usando a própria funcionalidade de transações existentes da Polymarket contra ela.
A análise da BleepingComputer revelou que o script malicioso comunicava-se com `data.debugbear.com` para receber instruções e enviar dados sobre contas visadas, endereços de carteira, saldos e resultados de transações. O uso da infraestrutura do DebugBear tanto para distribuir o script malicioso quanto para servir como servidor de comando e controle (C2) levanta questões sobre o quanto de acesso os atacantes tinham aos sistemas da empresa.
Pesquisadores da Hudson Rock identificaram uma carteira suspeita controlada pelos atacantes (0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18) embutida no código malicioso. A análise de atividade blockchain da BleepingComputer mostrou que essa carteira transferiu aproximadamente 28,6 milhões de tokens POL, avaliados em cerca de US$ 2,57 milhões, para três carteiras adicionais. Registros blockchain mostram que a carteira realizou inúmeras transações envolvendo o contrato de token de mercado de previsões da Polymarket entre 13h50 e 13h56 ET, pouco antes da plataforma suspender as negociações.
O Polymarket não divulgou quantos usuários foram afetados, quanto exatamente foi roubado ou como funcionará o processo de reembolso. O CEO Shayne Coplan confirmou em declarações à CNBC e outras publicações que a empresa se referiu o incidente às autoridades britânicas, dado que a DebugBear é uma empresa do Reino Unido.
Este incidente marca a segunda vez em poucos meses que o Polymarket é alvo de ataques a carteiras de usuários. Em maio, um comprometimento de chave privada drenou cerca de US$ 700.000 de uma carteira interna de recarga. Em junho, a plataforma relatou que hackers conseguiram drenar mais de US$ 2,9 milhões em fundos de usuários ao comprometer um fornecedor terceirizado. A recorrência levanta perguntas sérias sobre a segurança do ecossistema de mercados de previsões e a vulnerabilidade sistêmica que provedores de terceiros representam para plataformas financeiras de criptoativos.
O caso do DebugBear ilustra um padrão cada vez mais comum no mundo do cibercrime: em vez de tentar quebrar diretamente a segurança robusta de uma plataforma, os atacantes miram seus fornecedores mais fracos. A estratégia é a mesma que levou a compromissos massivos como o SolarWinds em 2020, onde um único ponto de falha na cadeia de suprimentos permitiu acesso a milhares de organizações. No caso do Polymarket, um único snippet de JavaScript injetado por um provedor de monitoramento web foi suficiente para drenar milhões de dólares em poucos minutos.
A pergunta que permanece é: em um ecossistema onde cada plataforma financeira de cripto depende de dezenas de provedores terceirizados, como os usuários podem proteger-se de ataques que não vêm de fora, mas são carregados diretamente pela infraestrutura que confiam?
Fontes: Bloomberg, CNBC, BleepingComputer
✓ Fontes independentes cruzadas e verificadas antes da publicação
