Polymarket retoma negociações após exploit de US$ 2,65 milhões atribuído a provedor terceirizado

Segundo a fonte, dados da Arkham mostraram que uma carteira ligada a um suspeito de ataque tinha cerca de US$ 2,65 milhões em POL, após várias trocas de USDC.e por POL via Relay. Depois, os fundos foram movidos para outros endereços. A Polymarket colocou a exchange em modo cancel-only: era possível cancelar ordens, mas nenhuma nova ordem ou negociação era processada, e as ações do relayer ficaram pausadas durante a investigação.

A plataforma disse ter encontrado a causa e corrigido. Afirmou que um provedor terceirizado foi comprometido e que o caso foi encaminhado às autoridades. Depois, voltou a operar e prometeu reembolso integral aos traders afetados. A fonte lembra ainda que não é o primeiro episódio: houve um suposto ataque de governança em uma aposta sobre o acordo de minerais entre Ucrânia e EUA, e saídas suspeitas ligadas à infraestrutura do UMA CTF Adapter na Polygon motivaram uma investigação interna no início do ano.

Em 26 de junho de 2026, o CEVIU noticiou "Polymarket sofre ataque em seu frontend e usuários perdem 3 milhões de dólares": um fornecedor terceirizado comprometido permitiu a injeção de um script malicioso no frontend, com dreno de fundos por phishing. Agora o padrão se repete com outro valor, cerca de US$ 2,65 milhões, e de novo com um terceiro como origem apontada. Em 2 de novembro de 2026, o CEVIU também publicou "Script sequestrado do DebugBear no site da Polymarket leva a roubo de cerca de US$ 2,7 milhões de traders", que detalha o vetor: um script sequestrado usou sessões de navegador de traders logados. Em 30 de outubro de 2026, o CEVIU já havia noticiado a retomada das negociações e o compromisso de reembolso.

Para quem opera ou audita plataformas financeiras, o caso sugere que a superfície de risco está na cadeia de fornecedores, e não só nos contratos. É uma leitura editorial: dois incidentes em cerca de quatro meses ligados a terceiros indicam que due diligence e monitoramento de dependências externas pesam tanto quanto a segurança do código próprio. O reembolso integral protege a confiança, mas o custo recai sobre a plataforma.