Usuários do Polymarket perdem quase US$ 3 milhões em suposto ataque de phishing

O popular analista on-chain Specter acaba de relatar uma grande violação de segurança na Polymarket, que resultou no roubo de até US$ 2,94 milhões de cerca de 11 contas.

Segundo Specter, os fundos roubados estavam originalmente em PUSD (o token de garantia da Polymarket, atrelado ao dólar americano), foram trocados por ETH e enviados para um endereço final. Embora 11 vítimas já tenham sido identificadasdento número final pode aumentar à medida que os investigadores continuam tracmais transações.

Por que sempre a Polymarket?

A Polymarket tem enfrentado ataques de phishing e engenharia social desde o ano passado. Cada um explorou diferentes pontos de entrada, mas todos seguiram a mesma estratégia: enganar os usuários para que forneçam suasdente, em seguida, esvaziar suas carteiras antes que percebam.

No início deste mês, o vice-presidente de Engenharia da Polymarket, Josh Stevens, abordou um caso em que um usuário foi vítima de um golpe de mais de US$ 2 milhões. A vítima havia inserido uma senha de uso único em um site falso que era idêntico ao da Polymarket, o que permitiu ao invasor comprometer a carteira Magic Link da vítima (um sistema de login baseado em e-mail) e drenar seus fundos instantaneamente. 

Stevens enfatizou que, embora o impacto tenha sido enorme, a violação ocorreu em um site fraudulento e não se originou de uma falha na própria plataforma da Polymarket.

UMA CTF Adapter da plataformatracPolygon em maio. De acordo com o investigador on-chain ZachXBT, o ataque foi causado por uma chave de implantação comprometida.

A especulação sobre lançamentos aéreos pode estar alimentando a ameaça

O risco de phishing enfrentado pelos usuários do Polymarket é agravado pela crescente especulação em torno de um possível airdrop do token POLY. Em 25 de junho, o usuário Tiptop do X observou que o Polymarket havia atualizado discretamente sua página de perguntas frequentes, removendo a afirmação anterior de que a plataforma "não possui um token" e eliminando referências à ausência de planos para um airdrop ou geração de tokens.

Matthew Modabber, CMO da Polymarket, confirmou os planos para o token e o airdrop em uma entrevista em outubro de 2025, afirmando que a equipe queria criar "um token com verdadeira utilidade, longevidade e que existisse para sempre", conforme Cryptopolitan . Essa confirmação levou os usuários a ajustarem seus hábitos de negociação na esperança de se qualificarem para uma futura distribuição.

A grande expectativa em torno de possíveis airdrops facilita que golpistas enganem as pessoas com verificadores de elegibilidade falsos e páginas de reivindicação enganosas. 

Uma nova onda de especulações sobre airdrops começou a se espalhar nas redes sociais, com perfis da Web3 relatando que a Polymarket removeu recentemente a negação explícita de airdrops de sua página de perguntas frequentes. 

A Polymarket enfrenta outros problemas de reputação

Os riscos na plataforma vão além do phishing. Em dezembro passado, a SlowMist encontrou um bot de copy trading da Polymarket no GitHub com código malicioso incorporado, cujo objetivo era roubar e transmitir chaves privadas para hackers.

Outra investigação conduzida pela StepSecurity em março também descobriu uma organização do GitHub comprometida que estava distribuindo bots de negociação falsos projetados para comprometer contas de usuários.

A plataforma também enfrenta problemas de reputação. De acordo com uma investigação do Wall Street Journal, a Polymarket pagava a influenciadores cerca de US$ 2.000 a US$ 3.000 por mês para publicarem vídeos roteirizados mostrando lucros falsos em negociações. 

Aparentemente, os influenciadores foram instruídos a esconder que estavam sendo pagos e até mesmo obrigados a refazer vídeos caso não fossem suficientemente interessantes. Eles também receberam instruções para fazer com que os prêmios fictícios parecessem experiências reais e espontâneas.

Em conjunto com as campanhas de phishing e o ecossistema de bots maliciosos, esse padrão agora gera dúvidas sobre a segurança do usuário em uma plataforma onde o interesse em aberto no mercado de previsão atingiu recentemente um recorde de US$ 1,48 bilhão, de acordo com dados da a16z Crypto citados pela Cryptopolitan.

As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.