Bug da Polymarket supostamente permitiu que ladrões de identidade entrassem em contas existentes
Quase 500 usuários da Polymarket nos EUA foram atingidos no final de julho por um ataque fraudulento que não exigia senha, nome de usuário ou telefone comprometido, de acordo com um relatório do Wall Street Journal publicado no sábado. Uma pessoa que tentou criar uma nova conta com informações pessoais de um trader existente, como um número de Seguro Social roubado, teria sido inserida no perfil ativo desse trader. Contas bancárias e cartões de débito vinculados também se tornaram acessíveis, diz o relatório.
Com o ritmo aparentemente constante de novas violações de dados ocorrendo atualmente, a capacidade de acessar a conta de outra pessoa usando efetivamente dados pessoais como senha é uma vulnerabilidade de segurança incrível. Há apenas algumas semanas, 153 milhões de cartas de condução foram colocadas à venda na sequência da violação de uma empresa de verificação de identidade.
O Journal, citando uma pessoa familiarizada com o assunto, descreveu o episódio como um problema de engenharia e indicou que o valor total roubado por meio da exploração foi pequeno. No entanto, os usuários contaram uma história diferente em entrevistas ao meio de comunicação. Eles descreveram perdas de milhares de dólares e semanas de mensagens de apoio sem resposta.
Um usuário da Polymarket nos EUA disse ao Journal que aderiu à plataforma de previsão do mercado para apostar na Copa do Mundo. Em julho, ele fez login para descobrir que suas posições foram vendidas e US$ 5.783,51 em ganhos foram enviados para um cartão de débito que não possuía. A Polymarket creditou US$ 25 em sua conta e não ofereceu nenhuma explicação. O usuário disse que apresentou relatórios à polícia local, ao FBI e à Commodity Futures Trading Commission (CFTC). “A Polymarket US ficou em silêncio por semanas e semanas”, disse ele. Mais tarde, o suporte suspendeu sua conta depois que ele enviou informações de verificação duas vezes, mas ainda assim não resolveu os fundos perdidos.
Uma porta-voz da Polymarket disse ao Journal que a empresa cobriria o dinheiro perdido com o incidente. A empresa não publicou uma análise pública sobre a falha de inscrição.
O ataque de julho enquadra-se num quadro mais amplo que o Journal pintou de uma empresa que tratava a aceitação da fraude como um custo de expansão. Em fevereiro, o processador de pagamentos Checkout.com alertou a Polymarket que ladrões estavam vinculando cartões de débito roubados a milhares de novas contas nos EUA, financiando apostas e tentando transferir o dinheiro para cartões limpos ou contas que controlavam. A tentativa de roubo chegou a pelo menos US$ 10 milhões. A certa altura, o Checkout.com rejeitou mais de 80% dos depósitos que tratava como fraudulentos, contra uma referência da indústria de cerca de 1%.
Os funcionários levaram o problema ao CEO Shayne Coplan, mas a lembrança da equipe de conformidade de sua resposta foi que a Coplan disse para continuar crescendo e pagar uma multa se os reguladores descobrissem.
As taxas de fraude permaneceram elevadas durante meses depois de fevereiro. Em maio, disse o Journal, eles retornaram às normas do setor depois que a Polymarket limitou os cartões de débito por conta e contratou o contratante antifraude Riskified. Alguns clientes foram reembolsados enquanto outros recuperaram o dinheiro através dos seus bancos.
A falha de identidade de julho não foi o único problema de segurança da Polymarket este ano. Em junho, a empresa disse que um fornecedor terceirizado comprometido injetou um script malicioso no frontend de seu site para alguns usuários. Monitores de blockchain estimam o dreno de fundos resultante do hack em cerca de US$ 3,1 milhões em PUSD, o token em dólar da Polymarket, em pelo menos 11 carteiras. A Polymarket disse que removeu a dependência e reembolsaria integralmente os usuários afetados. O chefe de experiência William LeGate escreveu no X que “não houve ‘perdas’ do usuário” por causa desses reembolsos.
Polimercado sob ataque
Os usuários do Polymarket foram drenados de aproximadamente US$ 3,1 milhões em PUSD no Polygon por meio de phishing/execução delegada maliciosa do EIP-7702.
Os fundos foram convertidos para USDC.e via Relay, transferidos para Ethereum, trocados para ETH e consolidados em… pic.twitter.com/bG3GYZZ1D9
-AMLBot (@AMLBotHQ) 27 de junho de 2026
Esse incidente ocorreu na mesma semana que uma reportagem separada do Wall Street Journal de que a Polymarket havia pago criadores de mídia social para filmar negociações vencedoras falsas em versões réplicas de seu site.
O uso de informações privilegiadas também tem sido um problema aparentemente ininterrupto com plataformas de mercado de previsão como Polymarket e Kalshi. Em maio, um engenheiro do Google foi acusado de uma série de apostas da Polymarket nas pessoas mais pesquisadas do Google, que, segundo os promotores, dependiam de dados de pesquisa internos. Os membros da campanha descreveram o uso de pesquisas internas não divulgadas para negociar antes que os números chegassem ao público. Até George Santos é acusado de apostar contra sua própria aparição no Estado da União após divulgar que compareceria, caso que Kalshi encaminhou às autoridades federais. É claro que os casos mais preocupantes envolvem operações militares na Venezuela e no Irão.
Tanto a Polymarket quanto a Kalshi proíbem o uso de informações privilegiadas no papel e implementaram políticas para se proteger contra esse tipo de atividade. Além disso, a Polymarket apertou os parafusos dos usuários baseados em VPN à medida que proibições e bloqueios se acumulavam em mais de 30 jurisdições, incluindo Espanha, Indonésia, França e Reino Unido.
Há também a briga com os estados que dizem que os contratos esportivos nos mercados de previsão são apenas apostas esportivas não licenciadas. Havia pelo menos 20 casos em andamento relacionados a isso em fevereiro deste ano, e 38 estados aderiram a um amicus brief apoiando Maryland contra Kalshi. O governador de Utah, Spencer Cox, chamou os produtos de “jogos de azar puros e simples”, enquanto a CFTC disse aos estados para saírem do caminho.
É claro que nada disso desacelerou o crescimento da indústria. O volume mensal combinado em Kalshi e em ambos os locais do Polymarket aumentou de menos de US$ 2 bilhões em agosto do ano passado para um pico de cerca de US$ 50,6 bilhões em julho, de acordo com o The Block. Agosto então caiu 15%, para US$ 45,3 bilhões, o primeiro declínio mensal em um ano depois que o impacto da Copa do Mundo desapareceu. Durante a Copa do Mundo, só Kalshi imprimiu entre US$ 1 bilhão e US$ 1,25 bilhão em volume esportivo em alguns dias. O sucesso dessas plataformas também levou ao envolvimento de casas de apostas esportivas tradicionais, como DraftKings e FanDuel.
US$ 15 milhões para ajudar uma geração de crianças a se viciar no jogo é uma escolha.
LeShame. https://t.co/g8IMDuSvOi
– Haralabos Voulgaris (@haralabob) 17 de setembro de 2026
Na verdade, os contratos desportivos têm sido um motor-chave de crescimento para a indústria dos mercados de previsão, o que levou a críticas de que se trata apenas de um jogo degenerado com outro nome. O ex-diretor de análise do Dallas Mavericks e lendário apostador da NBA Haralabos Voulgaris resumiu esse ponto de vista em sua resposta às notícias sobre o novo acordo de LeBron James com a Polymarket. “US$ 15 milhões para ajudar a fisgar uma geração de crianças no jogo é uma escolha”, escreveu Voulgaris no X, e acrescentou “LeShame”.
James receberá US$ 15 milhões por ano para apoiar a Polymarket, mais de três vezes o valor que o Philadelphia 76ers está pagando para ele jogar basquete nesta temporada.
No entanto, os proponentes do mercado de previsão afirmam que os dados sobre as probabilidades de eventos futuros proporcionam um benefício separado para a sociedade, sob a forma de melhores sinais sobre se esses eventos irão ocorrer. Na verdade, um documento do corpo técnico da Reserva Federal sobre os contratos de Kalshi do início deste ano concluiu que os seus fundos federais e os mercados de IPC ofereciam melhorias estatisticamente significativas em relação aos futuros dos fundos federais e aos analistas profissionais.
