No dia 29 de outubro, a plataforma de mercados de previsão Polymarket sofreu um ataque: um código malicioso foi colocado no lugar de um script de velocidade de página que o site carregava de uma empresa externa, a DebugBear. Com isso, posições de alguns traders logados foram vendidas e o dinheiro foi transferido para os criminosos. Segundo a fonte, cerca de US$ 2,64 milhões em criptomoedas chegaram à carteira dos atacantes em menos de uma hora.

O script trocado vinha de uma ferramenta de monitoramento que mede a velocidade das páginas para visitantes reais. Pesquisadores da Hudson Rock e da Ohey identificaram que o arquivo malicioso estava sendo servido por um endereço diferente do normal. Os registros DNS da DebugBear foram comprometidos pelo registrador de domínio, e a empresa diz que parece ter sido alvo um único cliente, sem sinal de invasão dos próprios sistemas.

Na prática, o código aproveitava o acesso que o próprio usuário já tinha na página aberta. Ele lia chaves de API de negociação guardadas no navegador, mas essas chaves sozinhas não bastam para fazer uma ordem, pois ela também exige a assinatura da carteira. Por isso, o código buscava o trecho que faz as ordens e o responsável por assinar as transações. Contas com carteira de criptomoedas própria tinham posições transferidas diretamente; contas que entram por e-mail tinham posições vendidas a preços cada vez piores antes do dinheiro ser retirado.

A Polymarket diz ter removido o script em menos de uma hora, limpado o cache, encerrado todas as sessões de login, pausado as negociações e acionado as autoridades. Até 30 de outubro, 689 das 726 carteiras afetadas já tinham sido ressarcidas integralmente, e a empresa paga também cerca de US$ 1,19 milhão a aproximadamente 5.500 carteiras que perderam dinheiro durante a pausa ou tiveram posições tomadas. No total, são US$ 3,9 milhões devolvidos, sem necessidade de abrir pedido de ressarcimento, embora exista um formulário para quem achar que o valor está errado.

Para sites, a recomendação é retirar códigos de terceiros desnecessários de páginas onde o usuário negocia ou assina operações e, quando possível, fixar arquivos com Subresource Integrity (SRI), que faz o navegador recusar um arquivo alterado. A Polymarket anunciou que vai voltar a usar scripts externos com verificações extras, como uma Content Security Policy (CSP) mais rígida, versões fixas e sandboxing. Para traders, a orientação é recusar qualquer pedido de assinatura que não esperavam.