Em 29 de outubro de 2026, um código malicioso entrou no site da Polymarket, plataforma americana de apostas em previsões, assumiu as contas de quem estava logado, vendeu as posições dessas pessoas e mandou o dinheiro para carteiras dos criminosos. Em menos de uma hora, cerca de US$ 2,64 milhões em criptomoeda chegaram à carteira dos atacantes. O detalhe que interessa a quem tem loja virtual: ninguém invadiu o servidor da Polymarket. O código chegou por um script de outra empresa, a DebugBear, que mede a velocidade das páginas e estava instalado no site.
Por que importa para você: quase todo site de empresa carrega código de terceiros. Pixel de anúncio, chat, ferramenta de análise, mapa de calor, widget de avaliação. Cada um desses scripts roda dentro da sua página com o mesmo poder que o seu próprio código. Se o fornecedor perde o controle do domínio de onde o script é carregado, o seu site passa a entregar o código do criminoso para os seus clientes, sem que você mude uma vírgula.
O que aconteceu
Segundo o THN, portal de segurança, em texto publicado em 1º de novembro, o código malicioso substituiu o script de velocidade de página que o site carregava da DebugBear. A própria DebugBear afirmou que seus registros de DNS, o "endereço" que diz para onde o domínio aponta, foram comprometidos por meio do registrador de domínio, a empresa onde o domínio está registrado. A DebugBear diz que não encontrou sinal de invasão nos próprios sistemas e que a análise inicial indica um único cliente atacado. A investigação continua.
Em outras palavras: os criminosos não precisaram quebrar o código da DebugBear. Bastou mudar para onde o endereço do script apontava. Quem visitava o site da Polymarket passou a baixar o arquivo de um servidor controlado por eles.
Como a Polymarket reagiu
De acordo com o THN, a empresa:
- removeu o script em menos de uma hora;
- limpou todos os caches e derrubou as sessões de login ativas;
- pausou as negociações até considerar o site limpo;
- encaminhou o caso às autoridades;
- está devolvendo cerca de US$ 2,7 milhões a 726 carteiras afetadas e mais US$ 1,19 milhão a cerca de 5.500 carteiras prejudicadas pela pausa, num total de US$ 3,9 milhões;
- vai recolocar scripts de terceiros só com proteções extras: política de segurança de conteúdo (CSP) mais rígida, versões fixadas e isolamento.
A DebugBear orientou os clientes do produto de monitoramento de usuários reais (RUM) a retirar o código de incorporação dos sites.
Um caso parecido no mesmo fim de semana
O portal CircleID relatou que, em 30 e 31 de outubro, 12 sites ligados a criptomoedas tiveram o DNS sequestrado no nível do registrador. Um deles, a Kintsu, disse que o domínio "had been hijacked at the registrar level", ou seja, foi sequestrado no registrador. O próprio CircleID afirma que não há ligação estabelecida entre esse caso e o da Polymarket. Citamos para mostrar o padrão: o ponto fraco foi o painel do domínio, não o servidor.
O que fazer agora
- Liste todos os scripts externos do site. Abra o código da página inicial, do carrinho e do checkout, e o seu gerenciador de tags. Anote cada domínio de terceiro que aparece. Muita loja descobre nessa hora ferramentas que ninguém usa há anos.
- Tire do ar o que não tem uso. Script esquecido é risco sem benefício. Teste gratuito que acabou, ferramenta trocada, pixel de campanha antiga: remova.
- Mantenha código de terceiros longe das páginas sensíveis. Login, checkout e área do cliente deveriam carregar só o indispensável.
- Use SRI quando o arquivo for fixo. A integridade de sub-recurso (SRI) faz o navegador recusar o arquivo se ele mudar. Não serve para scripts que o fornecedor atualiza sozinho, mas protege bibliotecas com versão fixa.
- Configure uma CSP. A política de segurança de conteúdo diz ao navegador de quais domínios o seu site aceita carregar código. Não impede o ataque se o domínio liberado for sequestrado, mas limita para onde os dados podem ser enviados.
- Proteja o seu próprio domínio. No painel do registrador (Registro.br, GoDaddy, Hostinger e outros), ative a verificação em duas etapas, use uma senha forte e exclusiva e, se o serviço oferecer, ligue a trava de transferência. O mesmo ataque que pegou a DebugBear pode pegar o domínio da sua loja.
- Se você usa a DebugBear, siga a orientação da empresa e retire o código de incorporação até que ela confirme o fim da investigação.
Para guardar a senha do registrador e das ferramentas do site com segurança, um gerenciador de senhas ajuda. A OneckPass, empresa parceira, é uma opção.
O que ainda não se sabe
- Se outros clientes da DebugBear receberam o código malicioso. A empresa fala em um único cliente atacado pela análise inicial.
- Como os criminosos entraram na conta do registrador.
- Se há sites ou vítimas no Brasil.
- Se o caso tem relação com os 12 sites de cripto que tiveram o DNS sequestrado. O CircleID diz que essa ligação não está estabelecida.
Onde a Oneck entra
A frente de Software & Sistemas da Oneck Creative cuida de sites e lojas com revisão de scripts, atualização acompanhada e monitoramento, para o seu checkout carregar só o que precisa. Desde 2004, mais de 2.000 clientes passaram pela Oneck. Se você não sabe quantos scripts de terceiros rodam no seu site hoje, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: THN, portal de segurança: Polymarket perde cerca de US$ 2,7 milhões (01/11/2026); Search Engine Journal: DebugBear RUM attack, what site owners should do (31/10/2026); DebugBear no LinkedIn; CircleID: DNS hijacking campaign targets 12 cryptocurrency sites (31/10/2026).