Para: pessoas que usam a Polymarket e pessoas que operam sites que carregam scripts de serviços externos. Este artigo se baseia na página de status oficial da Polymarket e em reportagens da imprensa, e não descreve como realizar um ataque desse tipo.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 31 de outubro de 2026Ainda não se sabe
- Valor oficial da perda
- Número de usuários afetados
- Como funcionará o ressarcimento
- Como o terceiro foi comprometido
A página de status da Polymarket marcou o incidente como resolvido em 29 de outubro. Não publicou um relatório de acompanhamento que tenhamos encontrado em 31 de outubro. Segundo relatos, o provedor disse a seus próprios clientes que removessem seu script.
O que os usuários devem fazer hoje
Confira sua conta no site oficial
Abra a Polymarket digitando você mesmo o endereço (não por um link de uma mensagem) e revise suas posições, saldos e atividade recente de 29 de outubro. Se algo não corresponder ao que você fez, entre em contato com a Polymarket pelo canal de suporte indicado em seu site oficial.
Não aja com base em mensagens de ressarcimento
A página de status da Polymarket diz que os usuários afetados serão compensados, mas não dá nenhum processo de reivindicação. Golpistas costumam aproveitar momentos assim. Não clique em links de e-mails, mensagens diretas ou respostas, não conecte sua carteira a um site novo e não assine nada para «reivindicar» fundos. Espere um anúncio no site oficial ou na página de status.
Nunca compartilhe sua frase de recuperação nem sua chave privada
Nenhuma equipe de suporte legítima precisa delas. Isso vale quer a mensagem mencione a Polymarket ou não (O que é phishing?).
Encare isto como motivo para revisar sua própria exposição
Este site não dá aconselhamento financeiro. Em geral, fundos de que você não precisa em uma plataforma de negociação ficam mais seguros em outro lugar, e uma plataforma que compensa os usuários não elimina o risco de que seu próximo login seja alvo de um golpe. A reutilização de senhas entre serviços é um risco à parte (como verificar se sua senha vazou).
O que aconteceu (segundo a Polymarket e a imprensa)
Os horários oficiais abaixo vêm da página de status da Polymarket, convertidos de UTC para o horário do Leste (a página indica UTC). Os horários marcados como imprensa vêm de reportagens sobre a análise de uma empresa de pesquisa em segurança, não da Polymarket.
29 de outubro de 2026, 13h50–13h56 ET (imprensa)
A própria análise do BleepingComputer da atividade na blockchain mostra transações de uma suposta carteira do invasor envolvendo um contrato de token de um mercado de previsão entre 13h50 e 13h56 ET.13h59 ET (imprensa)
Reportagens, citando uma empresa de pesquisa em segurança, dizem que um build de produção da Polymarket com este carimbo de horário removeu a integração de monitoramento de terceiros.14h05 ET (Polymarket)
Página de status: a corretora entra em modo somente cancelamento e as ações do relayer são pausadas durante a investigação.14h37 ET (Polymarket)
Página de status: problema identificado e corrigido; um provedor externo foi comprometido; encaminhado às autoridades; todos os afetados serão ressarcidos; negociações suspensas temporariamente por precaução.Por volta das 15h00 ET (Polymarket)
Esperava-se que as negociações fossem retomadas; a página de status marcou o incidente como resolvido às 15h05 ET. A imprensa diz que as negociações foram retomadas cerca de uma hora após a suspensão.
- Serviço
- Polymarket.com, a plataforma internacional. A imprensa informa que a plataforma dos EUA não foi afetada; a página da Polymarket cita apenas a plataforma internacional
- O que a Polymarket diz
- Um provedor externo foi comprometido; o problema foi identificado e corrigido; encaminhado às autoridades; os usuários afetados serão compensados
- O que a imprensa informa (não a Polymarket)
- O provedor é um serviço de monitoramento de desempenho de sites cujo script carregava nas páginas da Polymarket. Comportamento relatado: agia sobre as contas de usuários logados, vendendo suas posições ou movendo tokens de posição para um endereço escolhido pelo invasor. Uma empresa de pesquisa (segundo a SecurityWeek) disse que não encontrou código que enviasse credenciais, senhas, frases de recuperação ou chaves privadas ao invasor; segundo relatos, o script reutilizava principalmente os direitos da sessão logada
- Valor
- Não divulgado pela Polymarket. A imprensa e empresas de análise rastrearam cerca de US$ 2,2 a 2,7 milhões até supostas carteiras. O valor menor é o número de uma empresa de pesquisa para os fundos de uma carteira, que a SecurityWeek diz não ser uma contagem verificada. Na opinião de uma empresa de análise relatada pela SecurityWeek, o número de endereços não equivale ao número de vítimas
- Resposta do provedor
- A imprensa informa que o provedor confirmou um incidente de segurança e disse a seus clientes que removessem seu script
O que se sabe e o que não se sabe
Situação em 31 de outubro de 2026.
| Item | O que se diz | Situação |
|---|---|---|
| Provedor externo comprometido | Página de status da Polymarket, 29 de outubro | Confirmado (Polymarket) |
| Negociações suspensas e retomadas | Suspensas temporariamente às 14h37 ET; resolvido às 15h05 ET | Confirmado (Polymarket) |
| Encaminhamento às autoridades | Indicado na página de status | Confirmado (Polymarket) |
| Usuários a compensar | «Os usuários afetados serão compensados» | Confirmado (Polymarket), detalhes não divulgados |
| Tipo de provedor | Serviço de monitoramento de desempenho de sites | Reportagens (dois veículos) |
| Comportamento do script | Vendia ou movia as posições de usuários logados | Reportagens, análise de uma empresa de pesquisa |
| Valor | Cerca de US$ 2,2 a 2,7 milhões rastreados | Estimativa da imprensa, sem valor oficial |
| Número de usuários afetados | Não informado | Não divulgado |
| Como o provedor foi comprometido | Não informado | Em investigação (segundo a imprensa) |
| Senhas ou frases de recuperação levadas | Uma empresa de pesquisa não encontrou código que as enviasse para fora | Constatação de terceiros; não confirmada pela Polymarket |
Por que um script de terceiros é um risco em uma página com login
Um script que um site carrega de um serviço externo roda com o mesmo acesso que o código do próprio site. Em geral, em uma página em que o usuário está logado, esse script pode ver o que o usuário vê e agir com a sessão que o usuário já tem. É por isso que um comprometimento no provedor externo pode alcançar os usuários do site sem que os servidores do próprio site sejam violados. É a razão geral, não um detalhe adicional sobre este incidente.
Duas características deste caso se destacam no registro público. O script do provedor afetado era uma ferramenta de monitoramento, que muitos sites adicionam para obter dados de desempenho e que roda em todas as páginas. E, segundo a imprensa, um build da Polymarket que removia a integração tem carimbo de horário cerca de 10 minutos depois das primeiras transações suspeitas, o que mostra a rapidez com que a exposição pode terminar quando um site consegue desligar o script.
Para operadores de sites: três verificações a partir do que é público
A Polymarket não publicou uma causa; portanto, esta seção não julga suas medidas. Usa apenas os fatos acima.
Liste todos os scripts externos nas páginas em que os usuários estão logados
Inclua análise de dados, monitoramento, widgets de chat e gerenciadores de tags. Para cada um, anote quem é o dono, por que está ali e quem pode desligá-lo. Remova os que não precisar, especialmente em páginas que movimentam dinheiro ou alteram configurações da conta. Veja os cabeçalhos de segurança que ainda importam.
Limite o que os scripts externos podem fazer
Uma política de segurança de conteúdo pode restringir de onde os scripts carregam e para onde podem enviar dados. Verificações de integridade de subrecursos ajudam quando um script é servido como um arquivo fixo, mas não quando o provedor altera o arquivo legitimamente; por isso, para as páginas de maior risco, considere servir o script do seu próprio domínio após revisá-lo, ou não carregá-lo de forma alguma.
Não deixe que apenas uma sessão autorize ações de alto valor
Exija uma confirmação nova (um pedido de assinatura, um segundo fator ou um atraso com notificação) para vendas, saques e mudanças de endereço. Assim, um script que só consegue usar a sessão existente não poderá concluí-las em silêncio.
A opinião deste site: os primeiros minutos são os mais importantes
Segundo a imprensa, um build que removia a integração foi feito cerca de 10 minutos após as primeiras transações suspeitas. Manter uma forma documentada de desativar rapidamente qualquer script externo, e um alerta para padrões de transação incomuns, é o que transforma um incidente longo em um curto.
O script de um provedor externo foi comprometido
↓→
Quais scripts externos carregam onde os usuários estão logados?
O script agiu por meio de sessões logadas (imprensa)
↓→
As ações de alto valor exigem uma confirmação nova?
Build que o removeu cerca de 10 minutos depois (imprensa)
↓→
Você consegue desligar rapidamente qualquer script externo?
Fontes (registro público)
- Página de status da Polymarket, «Polymarket exchange disruption» (29 de outubro de 2026) — status.polymarket.com
- BleepingComputer, «Polymarket halts trading after crypto-draining script breach, $2.5M traced» (outubro de 2026) — bleepingcomputer.com
- SecurityWeek, «$2 million drained from Polymarket traders in new supply chain attack» (30 de outubro de 2026) — securityweek.com
As reportagens são usadas para o tipo de provedor, o comportamento relatado do script e os valores, e estão marcadas como tais acima. A imprensa também cita a declaração da empresa; nos baseamos na página de status para a redação oficial.
Histórico de atualizações
2026-10-31: Primeira versão, com base na página de status da Polymarket e em duas reportagens. Atualizaremos este artigo quando a Polymarket publicar um valor de perda, um processo de ressarcimento ou uma causa.
Leia a seguir
- O mesmo tipo de incidente: Possível vazamento de dados de cartões na loja online APORITO (RIZAP)
- Roubo de criptoativos: Roubo de criptoativos na Bitget
- Outros incidentes de 2026: Vazamentos de dados e ciberataques em 2026