Hackers desviam US$ 2,73 milhões de 737 contas da Polymarket em uma hora

Um ataque coordenado à Polymarket drenou cerca de US$ 2,73 milhões de 737 contas de usuários em apenas uma hora, em 29 de outubro, segundo nova investigação de blockchain que rastreou quase mil saques não autorizados pela própria infraestrutura do mercado de previsões. O levantamento da Bitquery identificou 985 saques executados entre 17h10 e 18h10 (UTC), todos com aprovações de carteira válidas — sem exploração de falha em contrato inteligente. Os recursos foram convertidos em POL, token da Polygon, e distribuídos por diversas carteiras antes de parte ser movida para a Ethereum. Como os hackers esvaziaram 737 contas A Bitquery mapeou uma sequência de saques automatizados encaminhados pelo relayer oficial de transações da Polymarket, serviço que envia transações de blockchain autorizadas pelo usuário sem exigir que o trader pague taxas de rede diretamente. Para as smart wallets na base, as aprovações pareciam legítimas. Em uma amostra de 30 saques, os pesquisadores verificaram que as transações foram executadas de três a sete segundos após a geração das aprovações, indício de atividade automatizada. A maior perda individual chegou a cerca de US$ 358 mil. Quatro contas concentraram 43% do total desviado; outras 276 perderam menos de US$ 100 cada uma. O episódio lembra a invasão de junho, que causou prejuízo de aproximadamente US$ 2,94 milhões em pelo menos 11 carteiras, também por código malicioso inserido via dependência de terceiros comprometida. A Polymarket já havia registrado violações de contas ligadas a um provedor externo de autenticação — sinal de que serviços conectados à plataforma viram alvo mesmo quando os contratos na blockchain seguem intactos. Rastro dos fundos entre Polygon e Ethereum Os investigadores localizaram um endereço controlado pelo atacante que recebeu cerca de 28,64 milhões de POL antes da distribuição para três carteiras recém-criadas. Parte dos recursos seguiu depois para a Ethereum via Relay, deBridge e a ponte nativa da Polygon. No corte da apuração, às 19h49 (UTC), aproximadamente US$ 2,17 milhões permaneciam em três carteiras na Polygon, e outra carteira identificada na Ethereum detinha 126,10 ETH. O atacante também transferiu posições do mercado de previsões de 33 contas e abriu uma nova conta na Polymarket para vender parte das cotas roubadas. Um achado incomum diz respeito à resposta da plataforma. A Bitquery identificou outro saque, de US$ 10,99, às 19h11 (UTC) — cerca de 38 minutos depois de a empresa afirmar ter corrigido o problema. A transação não prova que a falha continuasse explorável de forma geral, mas levanta dúvidas sobre o timing da correção. Polymarket anuncia US$ 3,9 milhões em reembolsos O relatório oficial do incidente confirma que um atacante substituiu o script de um site de terceiros por código malicioso voltado a usuários com a plataforma aberta. A empresa removeu o script, limpou caches, redefiniu sessões ativas e suspendeu temporariamente as negociações. Depois, informou que 95% das carteiras afetadas haviam sido integralmente reembolsadas e que a compensação total chegaria a US$ 3,9 milhões. A brecha adiciona mais uma preocupação de segurança a um setor de mercados de previsão que já enfrenta escrutínio sobre integridade de mercado e tratamento de informações sensíveis de negociação. Expõe também um risco mais amplo para aplicações financeiras descentralizadas: mesmo com contratos funcionando corretamente, software externo comprometido ainda pode autorizar transações danosas. Alertas anteriores de segurança em torno da Polymarket já mostravam a importância de separar comprometimentos reais de infraestrutura de outras ameaças noticiadas.