Os utilizadores relatam violação de segurança na Polymarket relacionada com autenticação de terceiros

Vários utilizadores relataram perdas na Polymarket, uma importante plataforma de previsão, após uma violação recente que parece estar relacionada com um fornecedor de autenticação de terceiros.

Utilizadores da Polymarket descrevem violação súbita de conta e saldo esgotado

Relatórios de violação de conta na Polymarket começaram a surgir no início desta semana no X e Reddit, à medida que utilizadores afetados partilhavam detalhes de perdas súbitas. Um utilizador escreveu que, ao acordar, viu 3 tentativas de login na sua conta, apesar de insistir que o seu dispositivo não tinha sido comprometido.

Esse utilizador afirmou que o Google não sinalizou nada suspeito e que todos os outros serviços pareciam normais. No entanto, após visitar a plataforma, descobriram que todas as suas posições abertas tinham sido fechadas e o saldo tinha caído para apenas $0,01, sugerindo um esgotamento completo da carteira.

Outro comentador no Reddit descreveu uma violação semelhante na conta da Polymarket, recebendo três notificações de login antes de os fundos desaparecerem da conta. Além disso, alegaram que não clicaram em nenhum link e tinham autenticação de dois fatores ativada no email, levantando receios de uma potencial bypass de autenticação de dois fatores a nível do fornecedor.

Foco na Magic Labs e acesso à carteira por email

De acordo com múltiplos relatos de utilizadores nas redes sociais, as contas afetadas pertenciam em grande parte a clientes que se inscreveram através da Magic Labs. O serviço permite aos utilizadores fazer login com endereços de email e cria automaticamente carteiras ethereum não custodiais para eles na backend.

A Magic Labs é amplamente utilizada por utilizadores de criptomoedas de primeira viagem que não têm experiência prévia com carteiras de ativos digitais. No entanto, este modelo de login por email, focado na conveniência, pode também ampliar a superfície de ataque se a infraestrutura de terceiros for comprometida ou mal configurada.

Alguns membros da comunidade no X e Discord especularam que a vulnerabilidade estava diretamente relacionada a um problema de autenticação da Magic Labs. Dito isto, nesta fase essas alegações permanecem não verificadas, pois nenhum relatório técnico foi publicado e nenhum fornecedor confirmou publicamente uma violação.

Polymarket confirma problema de segurança de terceiros

A Polymarket reconheceu que várias contas de utilizadores sofreram perdas devido a um problema de segurança ligado a um serviço externo. Na terça-feira, a equipa abordou o incidente no seu canal oficial do Discord, confirmando que um fornecedor de autenticação de terceiros esteve no centro do problema.

“Recentemente identificámos e resolvemos um problema de segurança que afetou um pequeno número de utilizadores”, escreveu a plataforma numa atualização no Discord. Além disso, a Polymarket afirmou que o problema surgiu de “uma vulnerabilidade introduzida por um fornecedor de autenticação de terceiros”, sem fornecer detalhes técnicos adicionais.

A empresa não divulgou quantos utilizadores foram impactados ou o valor total roubado. No entanto, enfatizou que a vulnerabilidade foi corrigida e afirmou que não há risco contínuo para os utilizadores atuais. A equipa acrescentou que “estará em contacto com os utilizadores afetados” para tratar de casos individuais e possíveis restituições.

Apesar da especulação dos utilizadores, a Polymarket até agora recusou-se a identificar o fornecedor específico envolvido na violação da Polymarket. O The Block contactou a equipa para obter informações adicionais, mas até ao momento não foi divulgada nenhuma declaração pública adicional.

Incidentes anteriores: esgotamento de carteiras e phishing social

A última exploração ecoa desafios de segurança anteriores para a plataforma de previsão. Em setembro de 2024, vários utilizadores que fizeram login via contas Google relataram esgotamentos súbitos de carteiras USDC, com atacantes a usar chamadas de função “proxy” para mover fundos dos utilizadores para endereços de phishing.

Na altura, a Polymarket afirmou estar a investigar os ataques como explorações potencialmente direcionadas, novamente ligados a um fornecedor de autenticação de terceiros, em vez do protocolo principal. Esse relatório anterior de esgotamento de carteiras USDC levantou questões sobre quanto controlo as ferramentas de login externas têm sobre permissões na cadeia.

Separadamente, uma campanha de phishing que explorou as secções de comentários da plataforma no mês passado levou a perdas reportadas superiores a $500.000. Os scammers publicaram links disfarçados para sites fraudulentos que imitavam páginas oficiais e incentivaram os utilizadores a fazer login por email, transformando a interface numa fraude de comentários de phishing.

Vigilância contínua da autenticação de terceiros no setor cripto

A sequência de eventos intensificou a vigilância sobre soluções de autenticação de terceiros no setor cripto. Ferramentas de conveniência que ligam logins tradicionais por email ou redes sociais às carteiras blockchain são agora vistas como potenciais pontos únicos de falha. Além disso, quando esses fornecedores são comprometidos, os atacantes podem obter acesso amplo sem precisar de violar contratos inteligentes na cadeia.

Por agora, a Polymarket afirma que o problema imediato foi resolvido e que os utilizadores afetados serão contactados diretamente. No entanto, a dependência repetida de fornecedores externos de autenticação significa que as plataformas provavelmente enfrentarão uma pressão crescente para fornecer maior transparência, permissões mais granulares e monitorização mais rigorosa em torno dessas integrações.

Os incidentes recentes na Polymarket destacam a tensão entre usabilidade e segurança nos mercados de cripto.

Enquanto as ferramentas de login de terceiros podem reduzir barreiras para os recém-chegados, também introduzem novos caminhos de ataque que tanto as plataformas quanto os utilizadores precisarão entender e mitigar de forma mais proativa.