A plataforma de mercados de previsões Polymarket interrompeu suas operações na noite de 29 de outubro por cerca de uma hora após descobrir que um ataque a um fornecedor terceirizado havia comprometido a segurança de sua plataforma internacional. O incidente, que resultou na perda de cerca de US$ 2,7 milhões em criptomoedas de usuários, ilustra um padrão crescente de vulnerabilidades em cadeia que afeta serviços digitais — mesmo empresas com milhões de dólares em receitas e bilhões em transações podem ser vulneráveis a vetores de ataque aparentemente banais.
O ataque começou por volta das 14h (hora de Washington) quando a Polymarket entrou em modo "cancel-only" e pausou as ações do relayer — o componente que submete transações assinadas dos usuários para a blockchain. Os usuários relataram que ativos estavam sendo retirados de suas contas sem autorização. A plataforma confirmou que um de seus provedores terceirizados havia sido comprometido e que a investigação foi encaminhada às autoridades do Reino Unido.
A Polymarket identificou e corrigiu o problema em torno das 14h37 e anunciou que o comércio seria retomado às 15h. Às 15h05, a status page marcava o incidente como resolvido, com todos os sistemas operacionais. Mas o estrago já tinha ocorrido.
O vetor de ataque: um script de monitoramento de desempenho
A origem do comprometimento foi um serviço de monitoramento de desempenho de websites chamado DebugBear, uma empresa sediada no Reino Unido. O DebugBear não é um banco de dados ou um sistema de pagamento — é uma ferramenta que analisa a velocidade de carregamento de páginas web para donos de sites. O tipo de serviço que milhares de empresas usam diariamente e que praticamente ninguém considera como uma superfície de ataque.
Segundo a Hudson Rock, uma empresa de segurança cibernética que analisou o incidente, um script carregado do DebugBear continha código projetado para procurar sessões de negociação autenticadas da Polymarket, tentar liquidar as posições dos usuários e transferir os ativos para uma carteira controlada pelo atacante. O código era um JavaScript malicioso que, ao ser executado no navegador de qualquer usuário que visitasse a plataforma naquele momento, tentava automaticamente vender posições de mercado de previsões e transferir criptomoedas.
O endereço da carteira do suposto atacante, identificado como 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, estava embutido diretamente no script como destino de fallback. Registros da blockchain mostram que a carteira realizou numerosas transações envolvendo o token de mercado de previsões da Polymarket entre 13h50 e 13h56 ET, pouco antes da suspensão do comércio.
Dados da plataforma de análise Arkham indicam que a carteira do atacante continha cerca de US$ 2,65 milhões em POL — o token nativo da Polygon — após múltiplas trocas de USDC.e para POL através do serviço cross-chain Relay.
Um padrão que se repete
Este não é o primeiro incidente de segurança da Polymarket em 2026. Em 25 de junho, a plataforma relatou que um vendor terceirizado havia sido comprometido e que um script malicioso havia injetado código no frontend, roubando cerca de US$ 3 milhões de menos de 15 contas. Um mês antes disso, em maio, um comprometimento de chave privada drenou cerca de US$ 700.000 de uma carteira interna de recarga.
Em todos os três casos — maio, junho e outubro — o resultado foi o mesmo: perda de fundos de usuários, Polymarket prometendo reembolso total e o atacante desaparecendo na blockchain. A diferença é que o incidente de outubro foi o mais amplo até agora, afetando não apenas algumas dezenas de contas, mas potencialmente todos os usuários da plataforma internacional.
O que é instructivo sobre este incidente não é apenas o montante roubado, mas a natureza do vetor de ataque. Não se trata de uma exploração sofisticada dos contratos inteligentes da Polymarket. Não houve comprometimento da blockchain em si. Em vez disso, trata-se de um ataque à experiência do usuário — um script carregado de um serviço de monitoramento de desempenho que, uma vez executado no navegador, tinha acesso às sessões autenticadas.
O problema da dependência de cadeia em serviços digitais
O caso da Polymarket expõe uma verdade desconfortável da infraestrutura moderna: a segurança de um serviço digital depende tanto da segurança dos seus fornecedores quanto da própria. E quando o fornecedor comprometido é uma ferramenta de monitoramento web, a superfície de ataque se expande para qualquer empresa que use esse serviço.
A DebugBear não divulgou detalhes adicionais sobre o incidente além de confirmar que estava "sendo impactada por um incidente de segurança em andamento" e pedir aos clientes que removessem seus códigos de incorporação imediatamente. A empresa não divulgou quantas outras empresas foram afetadas ou se a Polymarket era seu único cliente comprometido.
O que é particularmente frustrante para os investigadores é que a Polymarket, ao contrário das exchanges de criptomoedas tradicionais, não armazena fundos em wallets centralizadas. Os usuários interagem com a plataforma através de carteiras auto-custodiais. O ataque não explorou os contratos inteligentes da Polymarket — explorou a sessão do navegador do usuário. Isso significa que, tecnicamente, os fundos nunca estiveram em risco de serem drenados da blockchain; foram drenados porque o script malicioso executava transações assinadas automaticamente.
O que vem agora?
A Polymarket já reembolsou todos os afetados e retomou as operações. Mas o incidente levanta questões importantes sobre a segurança de plataformas financeiras baseadas em blockchain. Em um setor onde a segurança do código é frequentemente apresentada como a solução para os riscos de intermediários financeiros, um ataque que explora um simples script JavaScript é um lembrete de que a superfície de ataque mais perigosa ainda é a interface com o usuário.
A Polygon, a blockchain sobre a qual a Polymarket opera, não foi afetada pelo incidente. Os contratos inteligentes da plataforma continuaram operando normalmente. O problema foi exclusivamente frontend: a experiência do usuário que, ao visitar o site, carregou um script compromissado que explorava a confiança da sessão autenticada.
Restará saber se este tipo de ataque — explorando a cadeia de suprimentos de software através de um único provedor terceirizado — se consolidará como padrão para crimes financeiros em blockchain, e se plataformas de previsão, operando em um espaço regulatório cada vez mais hostil, terão capacidade de se proteger contra vetores tão amplamente replicáveis.
Fontes: CNBC, Bleeping Computer, Decrypt
✓ Fontes independentes cruzadas e verificadas antes da publicação
