Polymarket enfrenta controv\u00e9rsia ap\u00f3s declara\u00e7\u00e3o de que n\u00e3o houve vazamento, mesmo com alega\u00e7\u00f5es de ataque. Um hacker identificado como Xorcat afirma ter extra\u00eddo cerca de 300 mil registros da plataforma de mercados de previs\u00e3o baseada em blockchain. Os supostos dados teriam sido publicados em um f\u00f3rum de crimes cibern\u00e9ticos e no Telegram no dia 27 de abril de 2026, enquanto a Polymarket nega qualquer viola\u00e7\u00e3o.<\/p>\n
Xorcat sustenta ter explorado falhas no c\u00f3digo da plataforma, incluindo endpoints de API n\u00e3o documentados, que n\u00e3o eram divulgados publicamente pela empresa. Alega ainda ter utilizado um bypass de pagina\u00e7\u00e3o no sistema de negocia\u00e7\u00e3o CLOB e ter explorado uma configura\u00e7\u00e3o de CORS mal ajustada, permitindo comunica\u00e7\u00e3o indevida com o servidor.<\/p>\n
O hacker cita duas vulnerabilidades p\u00fablicas de alta gravidade para justificar o acesso. A primeira, CQE-2025-62718, tem CVSS 9.9 e envolve falha no bypass da vari\u00e1vel NO_PROXY do Axios, biblioteca usada para requisi\u00e7\u00f5es HTTP. A segunda, CVE-2024-51479, pontua\u00e7\u00e3o 7.5, afeta o Next.js, framework que d\u00e1 suporte a diversas aplica\u00e7\u00f5es web e permite contorno de autentica\u00e7\u00e3o.<\/p>\n
A vers\u00e3o comprimida do vazamento ocupa 8,3 MB, enquanto o dump completo chegaria a 2,24 GB, com 750 MB de dados brutos. Entre os arquivos estariam diret\u00f3rio de imagens de perfil e JSONs como gamma_markets.json, al\u00e9m de um arquivo de 1,2 GB batizado xorcat.deals polymarket clob_markets.json. As informa\u00e7\u00f5es supostamente incluem 10 mil perfis de usu\u00e1rios com nomes, bios e endere\u00e7os de carteiras, 9 mil perfis de seguidores, 4.111 coment\u00e1rios e mil registros de den\u00fancias com 58 endere\u00e7os ETH.<\/p>\n
Segundo a descri\u00e7\u00e3o t\u00e9cnica, o suposto acesso pode ter permitido visualizar mais de 250 mil mercados CLOB ativos, 292 eventos com dados internos e cem configura\u00e7\u00f5es de recompensa com endere\u00e7os USDC. Especialistas avaliam o caso como prov\u00e1vel scraping de dados p\u00fablicos, em vez de invas\u00e3o com explora\u00e7\u00e3o de falhas complexas.<\/p>\n
A Polymarket afirmou no X que n\u00e3o houve viola\u00e7\u00e3o e ressaltou que, por operar em blockchain, grande parte dos dados j\u00e1 \u00e9 p\u00fablico. A empresa sustenta que o material divulgado pela suposta fonte seria apenas a reutiliza\u00e7\u00e3o de informa\u00e7\u00f5es dispon\u00edveis, sem intrus\u00e3o real. A diverg\u00eancia entre as partes permanece sob avalia\u00e7\u00e3o.<\/p>\n
A discuss\u00e3o traz d\u00favidas sobre a natureza do acesso aos dados: scraping versus explora\u00e7\u00e3o de brechas t\u00e9cnicas. A afirma\u00e7\u00e3o de que o conjunto completo envolve milh\u00f5es de registros contrasta com a posi\u00e7\u00e3o de que muitos dados j\u00e1 s\u00e3o publicamente acess\u00edveis. Usu\u00e1rios podem ser expostos caso v\u00ednculos entre nomes e carteiras de criptomoedas sejam cruzados, destacando a necessidade de prote\u00e7\u00e3o de informa\u00e7\u00f5es sens\u00edveis.<\/p>\n
Acompanhe as novidades sobre seguran\u00e7a e tecnologia para entender desdobramentos deste caso envolvendo Polymarket, Xorcat e poss\u00edveis implica\u00e7\u00f5es para a privacidade de usu\u00e1rios.<\/p>\n","protected":false},"excerpt":{"rendered":"