Polymarket impõe trava de saque de 48 horas após violação de script de fornecedor de US$ 2,7 milhões
- A Polymarket adicionou a listagem de endereços para saques, com verificação por e-mail e um bloqueio temporal de 48 horas.
- O recurso foi adicionado após um script comprometido do DebugBear drenar cerca de US$ 2,7 milhões de 737 contas em 29 de outubro.
- O recurso protege os traders bloqueando pagamentos para carteiras não aprovadas, mesmo dentro de uma sessão sequestrada.
A Polymarket adicionou uma nova configuração que permite aos traders enviar saques apenas para carteiras pré-aprovadas.
O recurso chega cerca de duas semanas depois que um script hackeado drenou cerca de US$ 2,7 milhões das contas dos usuários.
O que faz o novo bloqueio de saques da Polymarket?
Josh Stevens, vice-presidente de engenharia da Polymarket, anunciou na segunda-feira que a Polymarket estaria adicionando um novo recurso que permitirá aos traders enviar saques apenas para carteiras previamente aprovadas. O anúncio foi feito em um post no X pela conta @devjoshstevens.
Adicionar um novo endereço de carteira a uma conta de usuário leva apenas dois passos. O trader deve confirmar a solicitação por e-mail e, em seguida, aguardar 48 horas. Se o trader não iniciou a solicitação, ele pode cancelá-la diretamente nesse e-mail.
Com esta medida em vigor, os atacantes não poderão mais enviar dinheiro para uma nova carteira sem passar pela verificação de e-mail e aguardar os dois dias necessários. Stevens disse que o objetivo é garantir que os atacantes não possam enviar dinheiro para nenhum endereço que o usuário não controle.
No entanto, o bloqueio não resolve o problema raiz da violação que a Polymarket sofreu há apenas duas semanas. Esse ataque resultou na drenagem de cerca de US$ 2,7 milhões das contas dos usuários. Foi realizado por meio de um script de terceiros executado dentro do site da Polymarket, com acesso às sessões ativas.
A Polymarket enfrentou esse tipo de problema no início deste ano, em junho, quando sofreu um ataque via script de fornecedor que resultou na drenagem de cerca de US$ 3 milhões de pelo menos 11 carteiras, segundo relatórios anteriores do Cryptopolitan. Uma violação em dezembro de 2025 em um provedor de autenticação também afetou as contas dos usuários.
Cada um desses casos envolveu um fornecedor externo, mas nada os liga a um único atacante.
Como ocorreu o hack da Polymarket e o que vem a seguir?
Em 8 de outubro 29, A Polymarket pausou as negociações em sua plataforma internacional após os atacantes assumirem o controle de um script da DebugBear, uma empresa do Reino Unido que monitora a velocidade dos sites. O script foi substituído por código projetado para drenar as carteiras.
Pesquisadores da Hudson Rock descobriram que o código verificava se um visitante estava logado no Polymarket. Em seguida, lia seus saldos e posições abertas. Por fim, usava as próprias ferramentas de negociação do site para vender posições e enviar o dinheiro para a carteira de um atacante.
A Hudson Rock também descobriu que o código do site do Polymarket registrava a remoção do script. O Polymarket informou que encaminhou o caso às autoridades policiais.
A Bitquery relatou que os atacantes retiraram US$ 2,73 milhões de 737 contas em cerca de uma hora, entre 17h10 e 18h10 UTC. Eles realizaram 985 saques, e cada um deles possuía uma aprovação válida. Portanto, os contratos inteligentes trataram essas transações como ações reais de usuários.
Uma conta perdeu US$ 358.369 em um único saque, enquanto 276 contas perderam menos de US$ 100 cada. Outros 33 usuários também tiveram participações em mercados de previsão retiradas.
O Polymarket afirmou que indenizará todos os seus usuários, mas aqueles que perderam menos de US$ 10.000 serão reembolsados primeiro.
Binance e Polymarket também solicitaram aos validadores da Polygon aprovar um hard fork. Um hard fork é uma alteração no software da rede que todos os validadores devem adotar. Esta proposta moveria cerca de 70,49 milhões de tokens POL congelados, valendo aproximadamente US$ 6,5 milhões, das carteiras dos atacantes. A proposta foi publicada em 4 de novembro e apresentada em uma reunião de governança da Polygon em 5 de novembro. Uma votação e uma data ainda estão pendentes.
Outras empresas também estão reforçando a segurança. Na terça-feira, a empresa de segurança CertiK afirmou, após o hackeamento de US$ 6,3 bilhões na Binance, que as exchanges deveriam estabelecer limites monetários rígidos sobre quanto mantêm em carteiras quentes (hot wallets), em vez de depender apenas de proporções de armazenamento frio (cold storage).
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Perguntas Frequentes
O que é a nova lista de permissões de saque do Polymarket?
Ela permite que os traders restrinjam saques apenas para carteiras previamente aprovadas por eles. Adicionar um novo endereço requer verificação por e-mail e um bloqueio de tempo de 48 horas, e a solicitação pode ser cancelada pelo e-mail se o usuário não tiver iniciado a ação, segundo Josh Stevens no X.
Quanto custou aos usuários a violação do Polymarket em outubro 29?
Cerca de US$ 2,73 milhões distribuídos entre 737 contas, retirados por meio de 985 saques autorizados em aproximadamente uma hora, segundo dados da Bitquery. O maior saque individual foi de US$ 358.369.
Como os atacantes roubaram os fundos?
Um script de monitoramento do DebugBear comprometido sequeitou sessões logadas no Polymarket e usou as próprias ferramentas de negociação da plataforma para vender posições e transferir ativos para uma carteira do atacante.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
