Polymarket ressarce US$ 3,9 mi após ataque por script malicioso

Tech Desk

Após ataque que explorou DNS, Polymarket devolve milhões aos usuários afetados e retoma operações com segurança reforçada.

Leia também: Ataques exploram falhas PHP2Shell em firewalls Palo Alto

A plataforma internacional de mercado de previsões Polymarket está devolvendo US$ 3,9 milhões a usuários após suspender negociações em 29 de outubro, quando traders relataram saques não autorizados provocados por um ataque que injetou um script malicioso em seu site a partir da infraestrutura da DebugBear.

Ataque explorou fornecedor terceirizado

O problema foi classificado como um ataque à cadeia de suprimentos digital. Pesquisadores da Hudson Rock rastrearam a origem para um código JavaScript malicioso servido de um endereço ligado à DebugBear, empresa especializada em monitoramento de desempenho de sites, cujo script era carregado pela interface da Polymarket.

Esse script mirava especificamente usuários logados, verificava os portfólios e, usando apenas as permissões da sessão ativa no navegador, vendia posições ou transferia ativos para uma carteira controlada pelo invasor. Não há indícios de que senhas, frases-semente ou chaves privadas tenham sido copiadas ou enviadas ao atacante.

Em comunicado, a Polymarket afirmou que o ataque veio de um prestador de serviço comprometido: “O ataque veio por meio de um fornecedor terceirizado comprometido que removemos em menos de uma hora. Estamos em investigação ativa com as autoridades policiais e compartilharemos um relatório pós-incidente”, disse a empresa.

Devolução e compensações aos traders

Em atualização divulgada no dia seguinte à suspensão, a Polymarket informou que 726 carteiras foram afetadas pela ação do script. Desse total, 689 já haviam sido ressarcidas até então, enquanto as demais estavam em processo de verificação para pagamento.

Segundo a plataforma, cerca de US$ 2,7 milhões foram roubados diretamente. Além de devolver o valor desviado, a empresa está compensando usuários prejudicados pela paralisação das negociações ou pela venda e transferência forçada de posições. Esse pacote extra soma US$ 1,19 milhão distribuídos a aproximadamente 5.500 carteiras, elevando o total devolvido a US$ 3,9 milhões.

A Polymarket afirma que segue colaborando com autoridades policiais e promete publicar um relatório detalhado sobre o incidente após a conclusão da investigação técnica.

DebugBear teve DNS alterado em registrador

Do lado da DebugBear, a empresa de monitoramento confirmou que a brecha ocorreu na camada de infraestrutura de domínios. “Nossos registros DNS foram comprometidos através do nosso registrador de domínio. Atualmente, não conseguimos receber e-mails enviados para nosso domínio”, informou a companhia em nota a clientes.

De acordo com a DebugBear, os invasores parecem ter mirado especificamente o site de um cliente, sem que o nome tenha sido revelado. A empresa afirma não ter encontrado sinais de invasão em seus sistemas internos e ainda não explicou como os criminosos conseguiram acesso ao nível do registrador de domínios. A investigação segue em andamento.

Entenda o contexto

O episódio reforça a preocupação com ataques à cadeia de suprimentos digital, em que criminosos comprometem ferramentas ou fornecedores terceirizados para atingir serviços maiores que dependem desses componentes. Nesse tipo de ataque, a vulnerabilidade não está necessariamente no código principal da plataforma, mas em integrações externas aparentemente inofensivas, como scripts de monitoramento de desempenho.

Não é a primeira vez que a Polymarket enfrenta um incidente envolvendo terceiros: em junho, a plataforma já havia relatado outro ataque via fornecedor, também com injeção de código malicioso em sua interface, que resultou em milhões de dólares em perdas. A repetição do cenário reacende o debate sobre controles de segurança mais rígidos sobre scripts externos, revisão de integrações e monitoramento contínuo de alterações em DNS e frontends de aplicações críticas.