Polymarket: script de fornecedor desvia US$ 2,7 milhões de usuários

Hackers desviaram cerca de US$ 2,7 milhões, perto de R$ 15 milhões pela nossa conta, de 726 carteiras na Polymarket em 29 de outubro. Os contratos da plataforma não falharam. Um script de um fornecedor foi trocado por código malicioso, que agiu na sessão de quem estava logado.

O caso importa além da cripto. As vítimas foram atingidas só por estarem logadas, e a Hudson Rock não achou rotina que enviasse senha. Não se sabe se a carteira pediu confirmação. É o segundo ataque do tipo à Polymarket neste ano, e a mesma exposição existe em qualquer site que carregue código de terceiros.

O que é a Polymarket

A Polymarket é um mercado de previsão: as pessoas compram e vendem contratos sobre o que vai acontecer, de eleição a jogo. Se um contrato que paga US$ 1 custa 60 centavos, o mercado diz que aquilo tem cerca de 60% de chance. Tudo funciona com carteira de cripto.

Como foi o ataque

A DebugBear, empresa britânica, mede a velocidade de sites com dados de visitantes reais. A Hudson Rock baixou o arquivo malicioso do endereço que a Polymarket usava para carregar esse script. A Polymarket não nomeou o fornecedor. Reuters e CNBC citam, cada uma, uma fonte anônima.

A DebugBear disse no X, em versão preliminar, que seus registros de DNS, o sistema que aponta um nome para um servidor, foram comprometidos pelo registrador do domínio. Afirma que o alvo foi um cliente e que não viu invasão dos próprios sistemas. A apuração dela segue, e a causa não foi confirmada por terceiros.

A Hudson Rock diz não ter achado rotina que enviasse senha, frase de recuperação ou chave privada. O método era usar o poder da sessão logada. Em conta com carteira própria, o código movia as posições para o atacante. Em conta por e-mail, vendia a preços cada vez piores e tirava o dinheiro.

O relógio é de Brasília. Às 14h10, o primeiro dinheiro chegou à carteira do atacante, segundo a Ohey. Às 14h38, a Polymarket publicou o primeiro aviso. Às 15h02, entrou o último valor. Às 15h05, a plataforma permitiu só cancelamentos. Tirou o script, limpou os caches e derrubou as sessões, e voltou por volta das 16h. A versão americana não foi afetada, segundo a SecurityWeek.

Quanto foi e quem paga

A Polymarket fala em US$ 2,7 milhões e 726 carteiras. Quem rastreia a rede chega perto: US$ 2,5 milhões pela BleepingComputer, US$ 2,65 milhões pela Arkham e US$ 2,71 milhões pela GoPlus. A empresa acrescentou US$ 1,2 milhão para cerca de 5,5 mil carteiras que perderam com a parada ou tiveram posições tomadas, e o total chega a US$ 3,9 milhões.

Em 30 de outubro, 689 das 726 carteiras já tinham recebido tudo, segundo a Polymarket. A maioria perdeu pouco: pela Bitquery, a perda mediana foi de US$ 171, cerca de R$ 930. Quatro contas, com mais de US$ 100 mil cada, somam 43% do total.

Há um ponto em aberto. Segundo relatos de usuários citados pela Bankless, quem perdeu mais precisa assinar um termo, com checagem de identidade e cláusula para não falar mal da empresa. A Polymarket não comentou em público. Não vimos o documento.

Por que aconteceu de novo

Em junho, um fornecedor comprometido injetou um script no site, com perdas de cerca de US$ 3 milhões em poucas contas. Scott Helme, da Report URI, diz que a política de segurança liberava todos os endereços usados no golpe, e que travar o arquivo numa versão conhecida teria barrado a troca. A Polymarket promete controles mais rígidos para código de terceiros.

A Binance foi roubada no mesmo dia, horas depois. Não localizamos nada que ligue os dois casos.

E o Brasil?

A Fazenda mandou bloquear a Polymarket em abril, depois que a Resolução 5.298 do Conselho Monetário Nacional vetou esse tipo de contrato sobre esporte, política e entretenimento. Em setembro, reportagens relataram acesso em alguns estados e por VPN, e não localizamos decisão que derrube o bloqueio. Também não localizamos caso de brasileiro afetado. O dinheiro não é público e não sai do seu imposto.

Nossa leitura

A Polymarket fez o certo ao parar tudo e pagar. Mas quem guarda dinheiro de cliente responde pelo código que deixa rodar no próprio site, e ser a segunda vez no ano pesa. Reembolso com cláusula de silêncio, se for mesmo assim, é um preço que o cliente não deveria pagar. E o bloqueio do governo não resolve nada disso: quem entra por fora continua entrando, só que sem nenhuma informação.

Falta a versão final da DebugBear: como o DNS foi comprometido, quanto tempo o arquivo ficou no ar e se a conclusão de que só um cliente foi alvo se mantém. O caso foi levado às autoridades do Reino Unido, e o autor segue sem nome.