A Polymarket, considerada a maior plataforma mundial de mercados de previsão (prediction markets), confirmou a 25 de junho de 2026 um sério incidente de cibersegurança: atacantes injetaram código malicioso no seu frontend através de um fornecedor externo comprometido, drenando cerca de 3 milhões de dólares de pelo menos 11 carteiras de utilizadores. A empresa comprometeu-se a reembolsar integralmente os afetados. Trata-se do segundo incidente em menos de dois meses, depois de um ataque em maio que custou cerca de 700 mil dólares em fundos internos.
O que aconteceu: um ataque à cadeia de fornecimento
Este incidente é um exemplo claro de supply chain attack (ataque à cadeia de fornecimento): os atacantes não comprometeram diretamente os servidores da Polymarket nem os seus contratos inteligentes na blockchain. Em vez disso, comprometeram um fornecedor terceiro que fornece código JavaScript ao website da plataforma.
Através desse fornecedor, foi injetado um script malicioso no frontend da Polymarket — a camada visual com que os utilizadores interagem no browser. Esse código redirecionava silenciosamente as transações: quando um utilizador aprovava uma operação aparentemente legítima, o código malicioso substituía o endereço de destino pela carteira do atacante. O domínio era o correto, o certificado SSL estava intacto, e a interface era visualmente idêntica à original. Os utilizadores não tinham forma de detetar a manipulação a olho nu.
A firma de segurança blockchain PeckShield estimou os danos em cerca de 3 milhões de dólares em pUSD (o token estável da Polymarket). Os fundos foram posteriormente convertidos em aproximadamente 1.893 Ether e transferidos para endereços controlados pelo atacante na rede Ethereum. A Bubblemaps e a GoPlus Security identificaram pelo menos 15 carteiras afetadas. Os fundos permanecem rastreáveis na blockchain.
O segundo ataque em dois meses
Este incidente de junho segue um ataque em maio de 2026 em que cerca de 520 a 700 mil dólares foram retirados de carteiras internas de operações da plataforma, usadas para pagamentos de prémios. A causa foi uma chave privada que estava ativa há seis anos sem ter sido revogada. Nesse caso, os fundos dos utilizadores não foram afetados.
Dois incidentes em menos de dois meses — com vetores de ataque distintos — revelam fragilidades persistentes na segurança operacional da plataforma, independentemente da robustez dos contratos inteligentes subjacentes.
A lição para todas as organizações
O caso Polymarket ilustra um princípio fundamental da cibersegurança moderna: a segurança de um sistema é tão forte quanto o elo mais fraco da sua cadeia de fornecimento. Mesmo que a infraestrutura central seja robusta, um fornecedor terceiro não auditado pode introduzir vulnerabilidades críticas.
Este padrão não é novo: os ataques SolarWinds (2020), Kaseya (2021) e 3CX (2023) seguiram a mesma lógica. No contexto do novo Regime Jurídico da Cibersegurança português (Decreto-Lei n.º 125/2025, transposição da NIS2), as entidades abrangidas são obrigadas a implementar medidas de gestão de risco que incluem a avaliação de riscos na cadeia de fornecimento de TIC — precisamente para prevenir este tipo de cenário.
Como se proteger
- Audite todas as dependências de terceiros usadas nas suas aplicações web, incluindo scripts externos e bibliotecas JavaScript.
- Implemente Subresource Integrity (SRI) para verificar que scripts externos não foram modificados.
- Reveja e revogue regularmente chaves privadas e credenciais de acesso que já não sejam necessárias.
- Verifique todas as transações antes de assinar — nunca aprove operações em modo automático sem confirmar o destinatário.
- Use carteiras hardware para montantes significativos — apresentam o endereço real no ecrã físico, onde scripts maliciosos não conseguem interferir.
Fonte: Polymarket, PeckShield, BleepingComputer, CyberInsider, Bubblemaps — 25-26 junho 2026.