Aviso de segurança do Polymarket: Como a vulnerabilidade na certificação de terceiros pode esvaziar a carteira do usuário

A plataforma de mercado de previsão descentralizada Polymarket confirmou em 25 de dezembro que, devido a uma vulnerabilidade de segurança no provedor de serviços de autenticação de terceiros, parte dos fundos dos usuários foi roubada, e os saldos das contas foram esvaziados. Os usuários afetados registraram-se principalmente através do Magic Labs, um serviço que permite aos usuários fazer login com endereço de email e criar automaticamente uma carteira não custodial na Ethereum.

Essa vulnerabilidade contornou medidas de segurança padrão, como a autenticação de dois fatores, gerando ampla preocupação na comunidade sobre a segurança da integração de terceiros em plataformas de criptomoedas.

01 Visão geral do evento: riscos de ativos expostos por vulnerabilidades de terceiros

O roubo de ativos aos usuários do Polymarket não decorreu de uma falha no contrato inteligente principal da plataforma, mas de uma vulnerabilidade de segurança introduzida pelo provedor de serviços de autenticação de terceiros no qual ela depende.

A plataforma afirmou em seu canal oficial no Discord: “Recentemente, identificamos e resolvemos um problema de segurança que afetou alguns usuários, causado por uma vulnerabilidade introduzida pelo provedor de autenticação de terceiros.”

Embora a plataforma afirme que o problema foi resolvido e que não há riscos contínuos, o número exato de usuários afetados e o valor das perdas ainda não foram divulgados, criando um vácuo de informações que gera preocupações na comunidade sobre a verdadeira escala e gravidade do incidente.

02 Processo de ataque: reconstrução de um caso típico de vítima

De acordo com relatos nas redes sociais, o incidente de segurança apresentou um padrão claro.

Um usuário do Reddit descreveu detalhadamente sua experiência: “Hoje de manhã, acordei e recebi três notificações de tentativas de login no Polymarket — meu dispositivo não foi invadido, o Google não detectou atividades suspeitas, todos os outros serviços estavam normais.”

No entanto, ao fazer login no Polymarket para verificar, descobriu que todas as negociações haviam sido encerradas e o saldo da conta restava apenas 0,01 dólares, o que indica que a carteira foi quase completamente esvaziada.

Outro usuário relatou uma experiência semelhante, mesmo sem clicar em links suspeitos e tendo ativado a autenticação de dois fatores por email, ainda assim não conseguiu impedir que o invasor esvaziasse seus fundos após receber três notificações de tentativa de login.

03 Grupo de vítimas: usuários registrados via Magic Labs tornaram-se principais alvos

Os afetados por esse incidente têm um ponto em comum: a maioria deles se registrou no Polymarket usando o serviço Magic Labs.

Magic Labs é um serviço de login de terceiros projetado para iniciantes em criptomoedas, que permite aos usuários fazer login apenas com o endereço de email, e o sistema gera automaticamente uma carteira não custodial na Ethereum. Essa abordagem reduz bastante a barreira de entrada no mundo cripto, mas também introduz novas superfícies de ataque.

Parece que os invasores descobriram uma forma de contornar os mecanismos de múltipla verificação, não por meio de phishing tradicional ou malware, mas por uma vulnerabilidade na própria autenticação de terceiros. Isso levanta preocupações sérias sobre a possibilidade de a autenticação de terceiros atuar como um ponto único de falha.

04 Resposta da plataforma: informações vagas geram mais dúvidas

Ao responder ao incidente, a Polymarket demonstrou uma tendência clara de retenção de informações, o que gerou mais perguntas do que respostas.

Primeiro, a plataforma limitou-se a dizer que “poucos usuários” foram afetados, sem fornecer números ou porcentagens específicos. Segundo, não divulgou o valor total roubado, impedindo a comunidade de avaliar a gravidade do evento. Terceiro, a Polymarket não identificou explicitamente o provedor de serviços de terceiros envolvido, embora a comunidade suspeite que seja o Magic Labs.

No aspecto técnico, a Polymarket afirmou que o problema “foi resolvido”, mas não explicou quais medidas específicas foram tomadas para a correção.

Alguns membros da comunidade apontaram que, após o incidente, a Polymarket aparentemente aumentou o comprimento da senha de um dígito para seis dígitos, mas a empresa não fez comentários públicos sobre essa mudança.

05 Lições de segurança: riscos sistêmicos na integração de terceiros

Este não é o primeiro incidente de segurança envolvendo a Polymarket devido a serviços de terceiros. Em setembro de 2024, vários usuários que fizeram login com contas do Google relataram que seus fundos em USDC foram transferidos para endereços de phishing.

No mês passado, uma campanha de phishing na seção de comentários da plataforma resultou na perda de mais de 500.000 dólares pelos usuários. Esses eventos revelam um desafio comum para plataformas de criptomoedas: mesmo que o contrato inteligente principal seja seguro, os serviços de terceiros nos quais dependem podem se tornar pontos fracos de segurança.

Análises do setor indicam que, quando os usuários dependem de uma infraestrutura de autenticação unificada que não é controlada diretamente pela plataforma principal, o sistema de integração fica especialmente vulnerável a ataques.

06 Recomendações para os usuários: práticas de proteção de ativos

Para os usuários de criptomoedas, o incidente do Polymarket oferece importantes lições de segurança.

A recomendação mais direta é evitar usar opções de login de terceiros e, em vez disso, conectar-se à plataforma usando uma carteira controlada por chaves privadas próprias. Embora isso aumente a barreira de entrada, até que a plataforma demonstre que pode proteger a segurança da integração de terceiros, essa é a melhor maneira de garantir a segurança dos ativos.

Os usuários devem verificar regularmente as atividades da conta, ativar todas as funções de segurança disponíveis e ficar atentos a qualquer tentativa de login suspeita. Diversificar o armazenamento de ativos, não concentrando todos os fundos em uma única plataforma, também é uma estratégia racional para reduzir riscos.

Considerando que a Polymarket planeja migrar para a Polygon e lançar sua própria rede Layer 2 na Ethereum, os usuários devem estar especialmente atentos à segurança de seus ativos durante a transição.

Perspectivas futuras

Até 25 de dezembro, o volume total de negociações da plataforma Polymarket atingiu US$ 1,538 bilhão, com 419.309 usuários ativos mensais. Quando os usuários acordaram e descobriram que seus saldos restavam apenas 0,01 dólares, esse incidente deixou de ser apenas uma falha técnica e se tornou uma séria questão de segurança na arquitetura do ecossistema de criptomoedas.

A segurança dos fundos dos usuários é sempre a base operacional da plataforma Gate. Em um momento em que o setor de criptomoedas enfrenta desafios complexos de segurança, a Gate continua fortalecendo sua infraestrutura de segurança, oferecendo mecanismos de proteção de múltiplos ativos aos usuários.