A violação da Polymarket em 29 de outubro atingiu traders por meio de um fornecedor de site comprometido. Pesquisadores encontraram código que tentava usar contas logadas para vender posições e mover ativos, expondo a confiança que os traders depositam na tela que usam para gerenciar seu dinheiro.
Resumo
- A Polymarket confirmou um fornecedor comprometido e restaurou o trading internacional após uma parada de 1 hora.
- Pesquisadores ligaram o incidente a um script de monitoramento de desempenho carregado pelo site.
- O código recuperado buscava acesso ao cliente de trading e ao signatário dentro de uma sessão ativa.
- Uma violação separada de fornecedor em junho já havia provocado uma promessa de reembolsos integrais.
- A mais recente promessa de reembolso ainda não explica como as posições vendidas serão avaliadas.
Um trader usando o nome Car disse que aproximadamente US$ 800.000 haviam desaparecido de sua conta na Polymarket e todas as suas posições haviam sido vendidas. Ele disse que continuou negociando em um dispositivo separado e evitou links desconhecidos.
Outros traders relataram perdas enquanto a Polymarket restringia sua exchange internacional em 29 de outubro. A empresa mais tarde confirmou que um fornecedor terceirizado havia sido comprometido e prometeu reembolsar os clientes afetados.
O relato técnico emergente aponta para software carregado dentro do site de trading genuíno. Pesquisadores de segurança encontraram um script de monitoramento que tentava alcançar as ferramentas que um trader logado usa para fazer pedidos e autorizar ações de carteira.
Para esses usuários, o perigo poderia chegar pela página que eles já haviam aberto para negociar. A investigação diz respeito ao software que opera dentro dessa página e às permissões de conta que ele poderia alcançar.
O aviso de incidente da Polymarket registra uma parada das 18:05 às 19:05 UTC. A empresa disse que corrigiu o problema e encaminhou o incidente às autoridades policiais, mas não divulgou sua investigação completa nem um total final de perdas.
A violação ocorreu 4 meses após outro fornecedor comprometido introduzir código malicioso no site. A Polymarket também prometeu reembolsos após esse incidente.
Traders relataram posições vendidas antes de a Polymarket parar de negociar
Um trader usando o nome Car disse que sua conta havia sido drenada de aproximadamente US$ 800.000 e que um amigo havia perdido outros US$ 600.000. Ele disse que todas as suas posições haviam sido vendidas.
Em postagens descrevendo o incidente, Car disse que separou sua atividade pessoal, desenvolvimento de software e trading em dispositivos diferentes. Ele suspeitou de um problema com o site da plataforma porque outros usuários pareciam ter sido afetados também.
Sua conta descreveu perdas sofridas durante o uso do serviço de trading, em vez de uma transferência que ele disse ter aprovado deliberadamente. A declaração subsequente da Polymarket confirmou um fornecedor comprometido, embora não tenha publicado conclusões sobre sua conta individual.
Outra conta, StarPlatinum, rastreou uma carteira destinatária suspeita e estimou que ela havia acumulado US$ 2,68 milhões. A conta disse que o saldo cresceu durante aproximadamente uma hora de saques.
A linha do tempo do observador colocou os primeiros recebimentos por volta das 17:05 UTC, antes de a empresa publicar sua restrição inicial de serviço. Ele alegou que a carteira continha US$ 412.000 às 17:25 UTC e US$ 2,02 milhões às 17:50 UTC.
Como o crypto.news relatou anteriormente, os relatos iniciais de perdas incluíam alegações de que fundos haviam passado pela infraestrutura de carteira de depósito da Polymarket. Essas descrições vieram de traders e observadores de blockchain enquanto a empresa ainda estava investigando.
A empresa mais tarde disse que corrigiu o problema e reembolsaria os usuários afetados. Ela não confirmou os valores individuais das perdas nem adotou a estimativa do observador como sua contabilidade final.
Uma captura de tela circulada durante o incidente mostrava uma solicitação de assinatura de carteira associada ao domínio da Polymarket. Ela exibia um campo de dados DepositWallet e o identificador de cadeia da Polygon, mas não mostrava uma transação concluída ou os detalhes completos necessários para reconstruir a atividade de uma conta individual.
Os relatos dos usuários incluíam tanto ativos transferidos para fora das contas quanto posições vendidas antes que seus proprietários pretendessem fechá-las. A Polymarket não disse se todos os usuários afetados experimentaram ambos.
Polymarket restaura serviço após paralisação de uma hora
A Polymarket inicialmente colocou a exchange em modo somente cancelamento e pausou as ações do relayer enquanto sua equipe investigava. A restrição permitia que os usuários cancelassem ordens existentes, enquanto novas ordens e negociações deixavam de ser processadas.
Às 18h37 UTC, a empresa disse ter identificado e corrigido o problema que afetava sua plataforma internacional. Afirmou que um provedor terceirizado havia sido comprometido e que as negociações permaneceram temporariamente suspensas por precaução.
A página de status trouxe outra atualização às 18h55 UTC, informando que as negociações seriam retomadas por volta das 15h no horário do Leste. O incidente foi marcado como resolvido às 19h05 UTC, ou 15h05 no Horário de Verão do Leste.
A mensagem de restauração da empresa repetiu seu compromisso de reembolsar os traders afetados. O aviso não anunciou que todos os reembolsos já haviam sido pagos quando as negociações foram retomadas.
O relayer da Polymarket faz parte da infraestrutura usada para enviar ações assinadas de carteira para a blockchain. A pausa dessas ações acompanhou as restrições ao seu livro de ordens durante a investigação.
Sua documentação de negociação descreve um sistema no qual os usuários criam ordens assinadas, um operador combina compradores e vendedores, e os contratos liquidam as negociações on-chain. O aviso do incidente de outubro identificou a Predictions Trading API, comumente chamada de CLOB, entre os serviços afetados.
A empresa continuou publicando atualizações por meio de seu serviço público de status à medida que a resposta avançava. Acesso à conta, dados de mercado e execução de ordens estão listados separadamente ali.
A restrição anunciada em 29 de outubro dizia respeito à plataforma internacional. A Polymarket não nomeou sua exchange americana separada como um local afetado no aviso do incidente.
O serviço foi retomado enquanto a investigação sobre transações não autorizadas continuava. As atualizações públicas não nomearam um atacante nem descreveram como o provedor foi comprometido inicialmente.
A Polymarket encaminhou o incidente às autoridades do Reino Unido, de acordo com sua declaração e reportagens subsequentes. A DebugBear está sediada no Reino Unido.
Investigadores ligaram a violação a um script de monitoramento
Os produtos da DebugBear ajudam operadores de sites a medir a velocidade de carregamento e outros aspectos da experiência do visitante. Seu serviço de monitoramento de usuários reais usa JavaScript incorporado no site de um cliente.
O fornecedor reconheceu um incidente de segurança em andamento e aconselhou os clientes que usam esse produto a remover seu código de incorporação. A Reuters identificou a DebugBear como o provedor envolvido no incidente da Polymarket, citando uma pessoa familiarizada com o assunto.
O próprio aviso de status da Polymarket referiu-se a um provedor terceirizado sem nomeá-lo. A empresa disse que o problema havia sido corrigido, mas não publicou um relatório técnico completo com esse anúncio.
A empresa de segurança Hudson Rock examinou um arquivo JavaScript servido a partir da infraestrutura da DebugBear. Em sua investigação, os pesquisadores disseram que o arquivo procurava no aplicativo em execução da Polymarket o cliente de negociação e o signatário usados por uma conta conectada.
A empresa disse que o código inspecionava saldos e posições antes de tentar mover valor para um destinatário configurado. Encontrou caminhos diferentes para transferir tokens de posição e vender posições antes de tentar transferir os rendimentos.
A Hudson Rock disse que o código buscava reutilizar o acesso disponível dentro de uma sessão autenticada. Sua análise não identificou uma rotina que enviasse uma frase-semente, senha ou chave privada para o endpoint de relatório do script.
Os pesquisadores encontraram uma referência à remoção da integração da DebugBear nos metadados de build de produção da Polymarket. Disseram que a entrada corroborava a remoção da integração, embora deixasse indefinido o período exato de exposição dos usuários.
O BleepingComputer examinou separadamente uma cópia do script e descreveu tentativas de usar sessões de negociação existentes para fazer pedidos e transferir ativos. Sua revisão de blockchain acompanhou aproximadamente 28,6 milhões de POL do suposto destinatário até três carteiras adicionais.
A publicação avaliou essa movimentação em aproximadamente US$ 2,57 milhões no momento de sua análise. A Hudson Rock citou um instantâneo separado do saldo do destinatário próximo de US$ 2,19 milhões, enquanto outros observadores relataram totais próximos de US$ 2,7 milhões.
A Polymarket não reconciliou essas estimativas em uma declaração de perdas da empresa. Os relatórios usaram observações e momentos de avaliação diferentes durante uma investigação que ainda estava em desenvolvimento.
Nenhuma das atualizações públicas da empresa identificou a pessoa que controlava a carteira destinatária. O comprometimento do provedor, os relatórios de negociação não autorizada e as transferências subsequentes continuam sendo objeto da investigação encaminhada às autoridades policiais.
A promessa de reembolso inclui traders cujas posições foram vendidas
A Polymarket disse que os usuários afetados seriam ressarcidos integralmente e reiterou que estava reembolsando totalmente os traders após o retorno do serviço. A declaração não estabeleceu um prazo para o envio de solicitações nem exigiu que cada cliente retirasse fundos dentro de um período específico.
A empresa não publicou uma política detalhada de reembolso para o incidente de outubro. Ainda não declarou se os pagamentos serão automáticos em todos os casos ou se alguns usuários precisarão fornecer informações sobre atividades contestadas.
O relato de Car de que suas posições foram vendidas levanta uma questão além de um saldo de carteira ausente. Um trader pode manter contratos sobre um evento que ainda não ocorreu, vendê-los antes da resolução ou retê-los até que o resultado seja determinado.
A documentação de posições da Polymarket descreve as participações em Sim e Não separadamente do colateral usado para comprá-las. Um conjunto completo é lastreado por 1 pUSD, enquanto o pagamento final de um resultado individual depende do resultado registrado.
As regras da plataforma permitem que os traders vendam posições antes da resolução. Quando ocorre uma venda não autorizada, o histórico de negociação da conta pode registrar tanto os contratos removidos quanto os recursos recebidos antes de qualquer retirada posterior.
A Polymarket não disse se restaurará contratos vendidos, compensará clientes usando um preço de mercado específico ou aplicará outro método. Sua promessa pública abrange os traders afetados sem especificar como cada tipo de atividade da conta será tratado.
A documentação de pedidos da plataforma registra etapas entre o envio de um pedido e a confirmação de uma negociação liquidada. Os pedidos podem permanecer abertos, ser correspondidos com outro trader, expirar ou falhar na liquidação.
A empresa pode recorrer tanto aos registros de negociação quanto aos registros de blockchain ao revisar atividades contestadas. Os relatos dos usuários sobre vendas indesejadas dizem respeito ao histórico de pedidos, enquanto as transferências para fora da carteira deixam um registro de transação separado.
Nenhum cronograma de pagamento em toda a empresa apareceu no aviso de restauração. A declaração da empresa não pediu aos clientes que pagassem uma taxa de recuperação nem que divulgassem credenciais de recuperação de carteira para obter um reembolso.
A violação de junho levou a uma promessa anterior de reembolsos integrais
A promessa de reembolso anterior da empresa seguiu-se a uma estimativa do analista de blockchain Specter de que pelo menos 11 carteiras haviam perdido aproximadamente US$ 2,94 milhões. O analista descreveu usuários que detinham PUSD cujos ativos foram subsequentemente convertidos em ETH.
Specter caracterizou o incidente como phishing por meio da interface afetada. A divulgação da empresa identificou um fornecedor comprometido como a via pela qual o script chegou a alguns usuários.
A AMLBot posteriormente elevou as perdas estimadas de junho para US$ 3,1 milhões. Seu relato de 27 de junho descreveu PUSD tomado na Polygon, convertido por meio do Relay, transferido por bridge para Ethereum e trocado por ETH.
O compromisso da Polymarket em junho foi reembolsar integralmente os usuários afetados. A declaração da empresa em outubro fez uma nova promessa de reembolso referente ao incidente mais recente.
A empresa não disse que as duas violações envolveram o mesmo fornecedor ou atacante. A divulgação de junho e a investigação de outubro dizem respeito ambas a software externo usado pela plataforma, mas descrevem eventos separados com quatro meses de diferença.
O incidente anterior ocorreu enquanto a Polymarket expandia o uso do PUSD por toda a sua infraestrutura de negociação. Sua declaração de junho dizia respeito aos usuários afetados pelo script malicioso, sem anunciar a suspensão de todos os mercados oferecidos sob a marca Polymarket.
A resposta de outubro novamente incluiu a remoção ou correção da integração comprometida e a restrição de atividades enquanto a equipe investigava. Os detalhes técnicos e os totais de vítimas divulgados em cada caso seguiram cronogramas diferentes.
Os relatórios de junho não forneceram um relato transação por transação mostrando a conclusão de cada reembolso. O aviso mais recente da Polymarket também não publica uma lista de reembolsos de outubro concluídos.
Pesquisadores examinaram o software em execução dentro da página de negociação
A investigação concentrou-se no código carregado por um site que os usuários já reconheciam. O relato da Hudson Rock descreveu tentativas de localizar o cliente de negociação dentro da aplicação em execução, em vez de uma instrução para que os usuários visitassem uma exchange com marca separada.
A documentação de navegador mantida pela Mozilla explica que o JavaScript incluído diretamente em uma página pode acessar outros scripts e dados dentro dessa página. Um script de monitoramento carregado dessa forma é executado com acesso que difere do conteúdo isolado dentro de um frame separado.
Os operadores de sites usam tais integrações para análise, relatórios de erros e medição de desempenho. A DebugBear descreve seu produto de monitoramento de usuários reais como coletor de informações sobre como os visitantes vivenciam um site.
A interface de negociação da Polymarket executa um conjunto diferente de tarefas, incluindo exibir posições, preparar ordens e interagir com um signatário. Os pesquisadores afirmaram que o arquivo recuperado continha lógica direcionada a essas funções de negociação.
A documentação de carteiras da Polymarket descreve vários tipos de conta, incluindo Deposit Wallets e carteiras legadas Proxy e Safe. Sua documentação atribui as Deposit Wallets a contas implantadas em ou após 4 de maio de 2026.
A plataforma permite que o proprietário de uma carteira autorize um signatário separado para atividades de negociação especificadas. Sua documentação beta de chaves de sessão afirma que tal chave pode negociar por uma Deposit Wallet, mas não pode retirar seus fundos.
A empresa não identificou as chaves de sessão como a causa da violação de outubro. O relato dos pesquisadores descreve tentativas de usar o cliente e o signatário já disponíveis na aplicação.
O guia de ordens da Polymarket diz que os usuários assinam mensagens estruturadas contendo o identificador de resultado da negociação, lado, preço, tamanho e outros termos. O operador valida assinaturas, saldos e permissões antes de casar uma ordem.
As negociações casadas então passam para contratos de liquidação, com a plataforma registrando se a execução foi confirmada ou falhou. O aviso de status de outubro não relatou uma falha do consenso da Polygon nem anunciou que todos os contratos de liquidação haviam sido comprometidos.
A resposta pública da empresa até agora identificou o comprometimento do provedor e prometeu compensação sem divulgar um relato completo de cada caminho de assinatura e transferência.
As proteções do navegador dependem de qual código o site confia
Um site pode carregar o software de um fornecedor sem enviar o visitante para outro endereço. O navegador busca o arquivo como parte da abertura da página, junto com o próprio código da aplicação da exchange.
A documentação de navegador da Mozilla explica que um script incorporado diretamente em uma página pode operar com o acesso da página. O papel comercial do fornecedor como monitor de desempenho não impõe, por si só, uma restrição de navegador que confine seu código à medição de tempos de carregamento.
O conteúdo colocado em um frame isolado separadamente tem limites diferentes. Um script incluído na aplicação de negociação não adquire esse isolamento simplesmente porque outra empresa o fornece.
A investigação de outubro coloca essa distinção dentro de uma aplicação financeira. A página da Polymarket exibe saldos e posições enquanto se conecta a serviços que preparam ordens e solicitam assinaturas.
A empresa não publicou um inventário completo do código externo autorizado a ser executado nesse ambiente. Sua declaração de incidente identifica um comprometimento de provedor sem descrever a revisão de permissões que precedeu a integração.
Os navegadores fornecem controles destinados a limitar essa exposição. A documentação de Subresource Integrity da Mozilla descreve um método para verificar um script baixado em relação a uma impressão digital criptográfica especificada pelo site.
Se o arquivo baixado for diferente da impressão digital esperada, o navegador se recusa a executá-lo. Um fornecedor que alterasse o arquivo exigiria, portanto, que o site aprovasse a nova versão antes que ela pudesse ser executada sob essa verificação.
A proteção depende de o site implantá-la para o recurso em questão. O aviso da Polymarket não diz se a integração afetada usou tal verificação nem publica conclusões sobre por que o código recuperado foi aceito.
A orientação sobre Content Security Policy da Mozilla descreve outro conjunto de controles sobre scripts executáveis. Uma política pode restringir fontes ou autorizar código específico usando nonces e hashes.
A permissão para o host de um fornecedor não verifica, por si só, cada arquivo que esse host serve. Um host pode permanecer o mesmo enquanto o conteúdo entregue por ele muda.
Esses controles operam antes ou no momento em que o código é executado no navegador. Eles têm uma finalidade diferente da vigilância de exchanges que examina ordens depois que um cliente de negociação as enviou.
A autoridade de negociação e a autoridade de saque têm limites diferentes
A própria documentação da Polymarket descreve esforços para limitar o que um signatário delegado pode fazer. Seu sistema beta de chaves de sessão permite que o proprietário de uma carteira autorize uma chave separada para negociação dentro de limites especificados.
A documentação afirma que uma chave de sessão não pode sacar fundos. Suas permissões podem abranger o livro de ofertas central, negociações combinadas ou as plataformas de negociação suportadas, e o proprietário concede a autorização por um período definido.
Uma permissão de negociação ainda permite atividades que alteram um portfólio. A distinção importa para clientes que relatam posições vendidas sem seu consentimento, mesmo antes de qualquer produto sair da carteira.
A Polymarket não identificou o sistema beta de chaves de sessão como o ponto de entrada em outubro. Pesquisadores descreveram tentativas de localizar o cliente ativo e o signatário disponíveis para a aplicação, enquanto a empresa ainda não explicou quais permissões foram usadas com sucesso em cada conta afetada.
O guia do ciclo de vida das ordens da plataforma descreve ordens assinadas fora da cadeia antes que um operador as valide e combine. As verificações abrangem a assinatura, os saldos das contas e as permissões, entre outras condições.
A liquidação ocorre então por meio de contratos de blockchain. Os registros distinguem uma ordem combinada de uma cuja liquidação foi confirmada ou falhou.
Uma assinatura válida faz parte desse processo, mas não estabelece que a pessoa que visualiza a tela queria a transação. O ataque relatado buscou usar a autorização disponível por meio da aplicação que prepara essas solicitações.
As conclusões públicas não estabelecem que todos os tipos de carteira permitiam assinatura silenciosa nem que toda ação tentada teve sucesso. A Polymarket suporta vários arranjos de carteira, e a investigação da empresa ainda não mapeou as contas afetadas para esses arranjos.
O incidente da empresa em junho já havia exposto uma dependência semelhante de código de site externo. Sua violação anterior de frontend envolveu um script malicioso entregue a alguns visitantes por meio de uma dependência comprometida.
A resposta de outubro novamente exigiu ação no nível da plataforma: uma restrição de negociação, ações de relayer pausadas e uma correção para a integração afetada. Os dispositivos de negociação separados dos clientes não lhes deram controle sobre o software que o site escolheu carregar.
Os reembolsos devem abordar as negociações, bem como o dinheiro em falta
A Polymarket prometeu ressarcir integralmente os usuários afetados, mas seu aviso de status não explica como avaliará as posições fechadas sem a aprovação de seus proprietários. Restaurar um saldo em dinheiro e restaurar uma posição aberta em um evento podem produzir diferentes holdings na conta.
Um trader cujos contratos foram vendidos pode ter tido a intenção de mantê-los até que um resultado eleitoral ou outro evento fosse resolvido. Os registros de venda mostram quanto os contratos renderam naquele momento, enquanto seu valor de mercado posterior pode mudar antes do reembolso.
A empresa não disse se substituirá contratos, usará o preço imediatamente antes da venda disputada ou aplicará outro método de avaliação. Não anunciou que os usuários devem esperar pela resolução dos eventos subjacentes.
Os registros de negociação e o histórico de carteira da Polymarket fornecem partes separadas dessa conta. O histórico de ordens registra mudanças nas posições, enquanto os registros de blockchain podem mostrar transferências subsequentes de garantias ou tokens.
O saldo de uma carteira destinatária não pode, por si só, identificar a perda de cada cliente. Reivindicações individuais podem envolver uma série de negociações, transferências e movimentações posteriores por outros endereços.
A investigação anterior de junho acompanhou ativos da Polygon através de uma bridge e para ETH na Ethereum. Sua estimativa revisada de perdas aumentou após o anúncio inicial de reembolso, à medida que os analistas rastrearam mais atividade.
A Polymarket não publicou um prazo limite de reivindicações de outubro nem um cronograma para pagamentos. Seu serviço de suporte internacional permanece separado da exchange americana, que o aviso do incidente não identificou como afetada.
A plataforma restaurou a negociação às 19:05 UTC de 29 de outubro. Seu aviso público registra o incidente de serviço como resolvido, mantendo o compromisso de compensar os clientes afetados.
O que observar
Descobertas técnicas: Quais permissões de conta o script usou com sucesso e quais tipos de carteira foram afetados.
Controles de fornecedores: As descobertas da empresa sobre como software externo chegou ao aplicativo de negociação.
Contabilização de perdas: Um total da empresa que reconcilia contas afetadas e transações não autorizadas.
Termos de reembolso: Como a Polymarket avalia as posições vendidas e quando os clientes recebem compensação.
Perguntas frequentes
O que aconteceu com a Polymarket em 29 de outubro?
A Polymarket disse que um provedor terceirizado foi comprometido e restringiu temporariamente sua plataforma internacional. As negociações retornaram após um incidente de serviço de 1 hora.
Quanto os traders perderam?
Um observador estimou US$ 2,68 milhões, e outros relatórios de rastreamento produziram números próximos de US$ 2,7 milhões. A Polymarket não anunciou um total final de perdas nem confirmou o número de contas afetadas.
A Polymarket prometeu reembolsar os usuários?
Sim. A empresa disse que os traders afetados pelo incidente de 29 de outubro seriam ressarcidos integralmente e reiterou seu compromisso de reembolso quando as negociações foram retomadas.
O que relataram os traders afetados?
Um trader usando o nome Car disse que aproximadamente US$ 800.000 foram tomados e todas as suas posições vendidas. Ele disse que um amigo havia perdido outros US$ 600.000, embora a Polymarket não tenha confirmado essas alegações individuais.
Qual fornecedor foi vinculado à violação?
Reportagens e pesquisadores de segurança vincularam o incidente ao script de monitoramento da DebugBear. A declaração de status da Polymarket de 29 de outubro confirmou um provedor comprometido sem nomeá-lo.
Foi a mesma violação da de junho?
Não. A divulgação de 25 de junho dizia respeito a um incidente separado de fornecedor, com perdas posteriormente estimadas em US$ 3,1 milhões. A empresa não anunciou um atacante ou fornecedor comum entre os dois casos.
O aviso dizia que a Polymarket US foi afetada?
Não. O aviso do incidente de 29 de outubro nomeia a plataforma internacional, enquanto a exchange americana opera separadamente.
O que acontece com as posições vendidas sem a aprovação do proprietário?
A Polymarket não publicou um método de compensação para posições vendidas em sua declaração de 29 de outubro. Sua promessa é ressarcir integralmente os traders afetados. Esta é uma análise educacional, não aconselhamento de investimento.
