Polymarket devolverá US$ 3,9 milhões às vítimas do ataque via DebugBear
Um script de monitoramento da DebugBear carregado pelo polymarket.com foi trocado por código que vendeu posições e drenou fundos de usuários logados em 29 de outubro; a DebugBear atribui o caso ao sequestro de DNS em seu registrador de domínios. Em pós-incidente, a Polymarket se comprometeu a devolver US$ 3,9 milhões (US$ 2,7 milhões dos saques e US$ 1,2 milhão pela parada do site) e diz que 95% das carteiras afetadas já foram reembolsadas. Reembolso é automático, sem reclamação; quem divergir dos cálculos deve acionar os canais oficiais.
O que aconteceu
A Polymarket, mercado de previsões, sofreu em 29 de outubro um ataque de cadeia de suprimentos: um script do fornecedor DebugBear foi trocado por código que vendeu posições e drenou fundos de usuários logados. Em pós-incidente, a empresa se comprometeu a devolver US$ 3,9 milhões; 95% das carteiras afetadas já foram reembolsadas até sábado. A negociação foi pausada e retomada, e as autoridades foram acionadas.
Por que importa
Cerca de US$ 2,7 milhões foram roubados de 726 carteiras, e a parada do site gerou perdas extras cobertas com US$ 1,19 milhão para cerca de 5.500 carteiras. É o segundo incidente semelhante no ano: em junho, um comprometimento de terceiro injetou script malicioso no frontend, com perdas de cerca de US$ 3 milhões. Scripts de terceiros em sites financeiros colocam o dinheiro do cliente diretamente em risco.
O que fazer
Quem usou a plataforma em 29 de outubro deve acompanhar os canais oficiais: o reembolso é automático, sem reclamação, e divergências devem ser reportadas à Polymarket. Empresas que carregam scripts de terceiros devem revisar controles de integridade e adicionar monitoramento contínuo.
Para o time técnico
- Afetados
- Polymarket, plataforma de mercado de previsões; frontend web e carteiras de usuários; vetor atribuído a sequestro de DNS na DebugBear · polymarket.com (plataforma internacional); a plataforma dos EUA não foi afetada, segundo a SecurityWeek. A DebugBear pediu que clientes de seu produto RUM retirassem o snippet dos sites.
- Exploração
- Ataque executado em 29 de outubro. Hudson Rock relatou cerca de US$ 2,19 milhões no endereço fallback embutido no script (valor não verificado); GoPlus estimou cerca de US$ 2,71 milhões; Arkham apontou uma carteira suspeita com cerca de US$ 2,65 milhões. A Polymarket contabilizou 726 carteiras afetadas. Atacante não identificado.
- Correção
- Não há correção de software. A Polymarket removeu o script em cerca de uma hora, pausou as negociações, reiniciou todas as sessões de login ativas e reimplantou o script do fornecedor com controles adicionais de integridade, monitoramento contínuo e verificação.
- Vetor
- Script de RUM (monitoramento de desempenho) da DebugBear carregado pelo polymarket.com foi substituído por um wallet drainer em JavaScript. Explorava sessões autenticadas de traders logados: inspecionava o portfólio e vendia posições ou enviava ativos a um endereço escolhido pelo atacante. A DebugBear atribui a troca ao comprometimento dos registros DNS via seu registrador de domínios; diz não haver indicação de comprometimento de sistemas internos.
- Mais detalhes
- O script lia dados de credenciais no navegador, mas a Hudson Rock não encontrou rotina que enviasse senhas, seed phrases ou chaves privadas ao atacante; o ataque reutilizou as permissões de negociação da sessão aberta. A Polymarket publicou build de produção às 17h59 UTC removendo o script DebugBear. Em atualização de 30 de outubro, todas as 726 carteiras menos 37 já estavam ressarcidas. GoPlus rastreou o caminho principal por 710 carteiras de depósito e 731 endereços. A DebugBear diz que o ataque visou o site de um cliente específico (achado preliminar) e que não consegue receber e-mails em seu domínio. É o segundo incidente semelhante da Polymarket; em junho, perdas de cerca de US$ 3 milhões. Polícia e investigação própria acionadas.
Linha do tempo
Polymarket publica pós-incidente e se compromete a devolver US$ 3,9 milhões e compensar a indisponibilidade do site.
Reembolso cresce para US$ 3,9 milhões; a DebugBear atribui o caso a sequestro de DNS via registrador de domínios e diz que um único cliente foi visado.
Polymarket diz que reembolsará cerca de US$ 2,7 milhões a 726 carteiras afetadas; blockchain mostra US$ 2,64 milhões com os atacantes.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 18 atualizações
Polymarket confirma oficialmente que as indisponibilidades decorreram de ataque a fornecedor terceirizado não nomeado.
Análise da Hudson Rock detalha que o script hospedado na DebugBear continha código de drenagem de carteiras direcionado a sessões de negociação logadas; página de status da Polymarket confirma que um fornecedor terceiro foi comprometido e marca o incidente como resolvido às 15h05 ET.
SecurityWeek detalha o mecanismo do ataque: código malicioso ligado a uma ferramenta de monitoramento de sites sequestrava sessões logadas no Polymarket para drenar fundos, com perdas acima de US$ 2 milhões.
WSJ reporta que pelo menos US$ 2,6 milhões foram drenados de contas de usuários após exploração de falha de engenharia no site.
Nova publicação no X repete a alegação de ataque à Polymarket, sem detalhes adicionais.
Este lote detalhou o vetor do ataque: um script de terceiro da DebugBear foi trocado por um wallet drainer que sacava pela própria plataforma, com a negociação restrita ao modo de cancelamento.
Rastreamento liga cerca de US$ 2,5 milhões a uma carteira suspeita do atacante; o script malicioso sequestrava sessões autenticadas para vender posições e roubar ativos.
Novas publicações no X repetem a alegação de que milhões de dólares foram roubados da plataforma.
Plataforma internacional de negociações foi interrompida por causa do comprometimento; usuários relatam perda de fundos.
Relato inicial do vxunderground atribui o ataque a ator desconhecido e aponta milhões de dólares roubados na última hora.
Polymarket confirma comprometimento de provedor terceirizado, diz ter acionado as autoridades e promete reembolsar os usuários que sofreram saques sem permissão.
Conta vxunderground afirma que mais de 1 milhão de usuários foram drenados em cerca de uma hora.
Polymarket atribuiu o incidente a uma vulnerabilidade em provedor externo de autenticação e afirma que o problema já foi resolvido.
Plataforma confirma incidente e pausa negociações; usuários relatam saques não autorizados de até US$ 800 mil cada.
Incidente aberto.
Fontes 17 fontes
- @DarkWebInformer @DarkWebInformer
- @DailyDarkWeb @DailyDarkWeb
- @Pirat_Nation @Pirat_Nation
- @vxunderground @vxunderground
- @MTSlive @MTSlive
Ver todas as 21 fontes
- @vxunderground @vxunderground
- @TheNotoriousSKi @TheNotoriousSKi
- @TheInsiderPaper @TheInsiderPaper
- @theliamnissan @theliamnissan
- @AutismCapital @AutismCapital
- @BleepinComputer @BleepinComputer
- @saurav_tweets @saurav_tweets
- @Jeremybtc @Jeremybtc
- @doggintrump @doggintrump
- @WSJ @WSJ
- $2 Million+ Drained From Polymarket Traders in New Supply Chain Attack SecurityWeek
- @DailyDarkWeb @DailyDarkWeb
- Polymarket confirms cyberattack on third-party provider after outages The Record
- Hackers Steal About $2.7 Million From Polymarket Traders via Hijacked DebugBear Script The Hacker News
- Polymarket Returns $3.9 Million to Traders as DebugBear Cites DNS Hijack SecurityWeek
- Polymarket pledges to give $3.9 million back to victims after site compromise The Record
