Uma falha no processo de cadastro do Polymarket teria permitido que invasores, munidos de dados pessoais roubados, assumissem quase 500 contas já existentes de usuários nos Estados Unidos no fim de julho, junto com métodos de pagamento vinculados.
Principais pontos:
- Um erro de registro teria permitido a qualquer pessoa com dados pessoais de um trader acessar a conta ativa dele sem usuário ou senha
- Contas bancárias e cartões de débito vinculados também ficaram acessíveis, e alguns usuários afirmam ter perdido milhares de dólares enquanto o suporte se manteve em silêncio
- O episódio ocorre após uma onda de fraudes em fevereiro, quando criminosos tentaram movimentar ao menos US$ 10 milhões com cartões de débito roubados
Falha no cadastro expôs traders do Polymarket
Quem criasse uma nova conta com os dados pessoais de um trader já existente, como um número de Previdência Social roubado, era supostamente direcionado diretamente ao perfil ativo daquele usuário, segundo apuração de um jornal publicada no sábado revelou.
Os invasores não precisavam de nome de usuário, senha nem de telefone comprometido, e as contas bancárias e os cartões de débito vinculados a esses perfis também passaram a ficar acessíveis.
Uma pessoa próxima ao caso classificou o valor total desviado como baixo, mas não informou a cifra. Já uma porta-voz da companhia afirmou que o Polymarket cobriria as perdas registradas no episódio. Usuários, porém, relataram outra realidade: perdas de milhares de dólares e semanas de mensagens ao suporte sem resposta.
Um trader disse ter acessado a plataforma em julho e encontrado suas posições vendidas, enquanto US$ 5.783,51 em ganhos haviam sido enviados para um cartão de débito que não lhe pertencia. Segundo ele, a empresa creditou US$ 25 em sua conta, não deu explicações e depois congelou a conta após ele enviar duas vezes os dados de verificação.
Leia também: Projeções para a Nvidia em 2030 mostram intervalo de US$ 727 a US$ 28.560
Alerta da Checkout.com precedeu resposta de Coplan
A falha nas contas ocorreu após uma onda mais ampla de fraudes em fevereiro, quando criminosos associaram cartões de débito roubados a milhares de novas contas nos EUA e tentaram movimentar pelo menos US$ 10 milhões. Em determinado momento, a processadora de pagamentos Checkout.com rejeitou mais de 80% dos depósitos por fraude, ante uma média do setor de cerca de 1%. As taxas de fraude voltaram ao normal em maio, depois que a empresa limitou o número de cartões de débito por conta e contratou a empresa antifraude Riskified.
Profissionais de compliance levaram o problema ao CEO Shayne Coplan, que teria orientado a equipe a continuar crescendo e pagar a multa caso os reguladores descobrissem, segundo atuais e ex-funcionários. A resposta surpreendeu a equipe, de acordo com relatos de pessoas ouvidas para a reportagem.
Histórico de segurança do Polymarket fica sob escrutínio
Analistas têm questionado se o crescimento da empresa avançou mais rápido que os controles de compliance, em um momento em que a companhia busca captação com avaliação próxima de US$ 21 bilhões. Eles também destacam que a cifra de US$ 10 milhões se refere a tentativas de desvio, e não a perdas confirmadas. O Polymarket afirma ter reforçado seus sistemas, e uma revisão interna conduzida pelo escritório de advocacia Sullivan & Cromwell concluiu que a empresa estava em conformidade com as regras.
A falha de julho encerrou uma sequência turbulenta para a plataforma, que não divulgou um relatório público sobre o incidente no cadastro. Em junho, a empresa confirmou que um fornecedor comprometido inseriu um script malicioso em seu site, e invasores desviaram cerca de US$ 3,1 milhões de 11 carteiras de usuários antes de promessas de reembolso.
Leia a seguir: Google Gemini invade três empresas em suas primeiras brechas autônomas conhecidas
