Uma falha no processo de cadastro da Polymarket teria permitido que invasores, usando dados pessoais roubados, assumissem quase 500 contas já existentes nos EUA no fim de julho, junto com os meios de pagamento vinculados.
Principais pontos:
- Uma falha de registro teria permitido a qualquer pessoa com os dados pessoais de um trader entrar na conta ativa dele sem usuário ou senha
- Contas bancárias e cartões de débito vinculados foram expostos, e alguns usuários afirmam ter perdido milhares de dólares enquanto o suporte ficou em silêncio
- O incidente ocorre após uma onda de fraudes em fevereiro, quando criminosos tentaram movimentar pelo menos US$ 10 milhões com cartões de débito roubados
Falha no cadastro da Polymarket expôs traders
Quem criasse uma nova conta usando os dados pessoais de um trader existente — como um número de Seguro Social roubado — era, segundo a apuração, direcionado diretamente ao perfil ativo desse trader, revelou uma investigação publicada no sábado pelo jornal aqui.
Os invasores não precisavam de nome de usuário, senha nem de um telefone comprometido, e as contas bancárias e os cartões de débito associados a esses perfis também ficaram acessíveis.
Uma pessoa familiarizada com o caso disse que o valor total desviado foi pequeno, mas não informou a cifra. Já uma porta-voz da empresa afirmou que a Polymarket arcaria com os prejuízos do incidente. Usuários, porém, relataram outra realidade: perdas de milhares de dólares e semanas de mensagens sem resposta ao suporte.
Um trader disse que, ao acessar a conta em julho, encontrou posições vendidas e US$ 5.783,51 em ganhos enviados para um cartão de débito que não lhe pertencia. Segundo ele, a empresa creditou US$ 25 em sua conta, não apresentou explicação e depois congelou o acesso após ele enviar os dados de verificação duas vezes.
Leia também: Projeções para a Nvidia em 2030 revelam intervalo entre US$ 727 e US$ 28.560
Alerta da Checkout.com antecedeu resposta de Coplan
A falha nas contas veio após uma onda mais ampla de fraudes em fevereiro, quando criminosos vincularam cartões de débito roubados a milhares de novas contas nos EUA e tentaram movimentar pelo menos US$ 10 milhões. Em determinado momento, a processadora de pagamentos Checkout.com rejeitou mais de 80% dos depósitos por suspeita de fraude, ante uma média do setor de cerca de 1%. As taxas de fraude voltaram aos níveis normais em maio, depois que a empresa limitou o número de cartões de débito por conta e contratou a consultoria antifraude Riskified.
Funcionários de compliance levaram o problema ao CEO Shayne Coplan, que teria dito para manter o crescimento e pagar a multa caso os reguladores descobrissem, segundo relatos de funcionários atuais e antigos. A resposta surpreendeu a equipe, de acordo com as lembranças de pessoas ouvidas para a reportagem.
Histórico de segurança da Polymarket entra no radar
Analistas têm questionado se o crescimento da empresa não avançou mais rápido que a área de compliance numa companhia que busca captação com avaliação em cerca de US$ 21 bilhões. Eles também observam que o valor de US$ 10 milhões se refere a uma tentativa de roubo, e não a perdas confirmadas. A Polymarket afirma ter reforçado seus sistemas, e uma revisão interna do escritório Sullivan & Cromwell concluiu que a empresa estava em conformidade com as regras.
A falha de julho coroou uma fase turbulenta para a plataforma, que ainda não publicou um relatório público sobre o incidente do cadastro. Em junho, a empresa confirmou que um fornecedor comprometido inseriu um script malicioso em seu site, e invasores desviaram cerca de US$ 3,1 milhões de 11 carteiras de usuários antes de a empresa prometer reembolsos integrais.
Leia a seguir: Google Gemini invade 3 empresas em primeiras brechas autônomas conhecidas
