Polymarket reembolsa traders após ataque via script

Um script de monitorização do desempenho carregado em polymarket.com foi substituído a 29 de outubro por código malicioso, que usou as sessões abertas dos traders para vender posições e retirar fundos das suas carteiras. A Polymarket diz que vai devolver 3,9 milhões de dólares aos traders e que entregou o caso às autoridades policiais. O incidente atingiu a plataforma internacional da Polymarket. A CNBC noticia que a plataforma norte-americana da empresa não foi comprometida.

O que a Polymarket confirmou

Josh Stevens, VP of Engineering da Polymarket, descreveu o ataque numa publicação no X que a conta principal @Polymarket voltou a partilhar a 30 de outubro: “Ontem, um script de desempenho de terceiros em polymarket.com foi comprometido pelo atacante do seu fornecedor e substituído por outro concebido para visar os nossos utilizadores. Durante um curto período, usou sessões abertas para vender posições e mover fundos. O fornecedor confirmou publicamente a violação.”

Segundo a página de estado da Polymarket, a plataforma esteve em modo apenas de cancelamento (cancel-only; só é possível cancelar ordens abertas), com as ações do relayer em pausa, a 29 de outubro das 14h05 às 15h05 ET, ou seja, das 18h05 às 19h05 em Portugal continental. A Polymarket diz que removeu o script comprometido “em menos de uma hora”, limpou as caches e repôs todas as sessões de início de sessão ativas.

No relatório pós-incidente (postmortem), publicado ao fim da tarde de 30 de outubro, a Polymarket escreve: “No total, estamos a devolver 3,9 M$ aos traders: os 2,7 M$ mais 1,2 M$ para cobrir as perdas associadas à pausa.” O dinheiro adicional cobre as posições que o script vendeu à força e as que perderam valor enquanto a negociação esteve em pausa. Mais cedo nesse dia, a conta @PolymarketTrade tinha dito que 689 das 726 carteiras afetadas tinham sido reembolsadas na totalidade e que as restantes 37 estavam a ser pagas à medida que eram verificadas. O relatório indica uma proporção de 95% das carteiras afetadas. A Polymarket diz que não são precisas reclamações nem tickets e remete os traders que achem um montante errado para um formulário com ligação no relatório.

O que outros noticiam

A 30 de outubro, a Polymarket não nomeia o fornecedor, nem nas suas publicações nem no relatório. A BleepingComputer e a empresa de segurança Hudson Rock afirmam que o script veio da DebugBear, uma empresa de monitorização do desempenho de sites, e citam uma alteração de código na Polymarket intitulada “remove debugbear rum script”. A CNBC noticia a mesma ligação junto de uma pessoa a par do assunto. A própria DebugBear escreveu a 29 de outubro que estava “afetada por um incidente de segurança em curso” e pediu aos clientes do seu produto Real User Monitoring (RUM) que removessem o código de incorporação. Numa nova publicação, na madrugada de 31 de outubro (CET), a DebugBear disse que os seus registos DNS tinham sido comprometidos através do registador de domínios e que o ataque, “com base na nossa investigação inicial”, “visou o site de um cliente específico”.

A Bubblemaps e a BleepingComputer publicaram estimativas a 29 de outubro, antes dos números da própria Polymarket. A Bubblemaps contou “mais de 700 utilizadores esvaziados”, as empresas de análise citadas pela CNBC contaram 710 carteiras, e a BleepingComputer seguiu cerca de 28,6 milhões de tokens POL, com um valor aproximado de 2,57 milhões de dólares, até carteiras ligadas ao atacante. Os números da própria Polymarket são 2,7 milhões de dólares e 726 carteiras.

A CNBC noticia também que a Polymarket disse aos utilizadores no Discord que quem tivesse perdido menos de 10 000 dólares teria os fundos repostos até 30 de outubro e que perdas maiores exigiriam uma declaração de quitação assinada (release). A publicação da Polymarket de 30 de outubro e o relatório dizem que não são precisas reclamações nem tickets e não mencionam qualquer declaração de quitação.

Não é o primeiro incidente deste género. Em junho de 2026, a Polymarket disse que um fornecedor externo tinha sido comprometido e injetara um script malicioso na sua interface para alguns utilizadores. A CoinDesk, citando a empresa de análise de blockchain AMLBot, estimou então as perdas em cerca de 3,1 milhões de dólares, vindos de 11 carteiras.

A nossa leitura

Para quem tem criptoativos num site de jogo ou apostas, o que importa é onde o ataque decorreu. Segundo a Polymarket, o código malicioso correu no próprio site e aproveitou sessões já iniciadas. Não era uma cópia falsa do site, e a Polymarket não o descreve como uma falha dos seus contratos inteligentes. Um ataque à cadeia de abastecimento deste tipo é difícil de detetar por um utilizador. Terminar as sessões que não utiliza e não deixar numa plataforma mais saldo do que o necessário reduz a exposição. Se foi afetado, informe-se sobre os reembolsos apenas pelos canais oficiais da Polymarket: incidentes como este tendem a atrair falsas mensagens de “reembolso”.

Abordámos outro incidente cripto em a violação da hot wallet da Gamdom e a plataforma norte-americana da Polymarket em a fraude com cartões roubados e os levantamentos da mesma origem. Em matéria de regulação, veja o Michigan e os contratos desportivos da Polymarket e os avisos de bloqueio DNS da Noruega.

Disponibilidade: A plataforma internacional da Polymarket está bloqueada ou restringida em vários países; a disponibilidade depende do país de residência.