ZachXBT classifica a Polyarb como um mercado de previsões falso com um drainer de carteiras ativo

O investigador onchain ZachXBT alertou que a Polyarb, um site que se apresenta como uma plataforma de mercado de previsões, está a executar um drainer de carteiras ativo e está a ganhar alcance através de contas de cripto de destaque que respondem aos seus posts.

Principais conclusões:

• ZachXBT alertou a 4 de maio de 2026 que a Polyarb hospeda um drainer de carteiras ativo com alvos em utilizadores de cripto.
• Contas de destaque que respondem aos posts da Polyarb amplificam o esquema para novos públicos sem se aperceberem.
• O alerta surge na sequência da recente exposição feita por ZachXBT de um escritório de advogados nos EUA que procurava 71 milhões de dólares em fundos congelados ligados à Lazarus.

O que a Polyarb está a fazer

Os drainers de carteiras funcionam disfarçando uma aprovação de contrato inteligente malicioso como se fosse uma transação rotineira, de modo que, quando um utilizador liga a sua carteira e assina o que parece ser uma ação de depósito, de levantamento ou de entrada num mercado, o drainer ativa uma aprovação separada e oculta que concede ao atacante acesso total aos fundos da carteira.

Image source: X ZachXBT destacou especificamente um risco de amplificação, ou seja, uma conta de cripto de destaque tinha respondido a um post da Polyarb, dando à plataforma um alcance orgânico que, de outra forma, não conseguiria. Responder ao conteúdo de uma plataforma de burla, mesmo de forma céptica, coloca essa plataforma à frente da audiência inteira do utilizador que responde, que pode ascender a milhões, sem qualquer indicação de que a origem é maliciosa.

Parte de um acontecimento mais amplo

Falsas plataformas de finanças descentralizadas (DeFi) e de mercados de previsões tornaram-se, em 2026, um vetor de ataque cada vez mais comum. Os operadores de burlas exploram a crescente visibilidade de plataformas legítimas como Polymarket e Kalshi, ambas com relações regulatórias divulgadas com a Commodity Futures Trading Commission (CFTC), ao criarem sites com aspeto semelhante, com branding semelhante e contratos não auditados.

ZachXBT construiu um registo consistente de expor estas e outras ameaças relacionadas antes que as perdas significativas se acumulem. Ainda no início deste mês, o investigador revelou que um escritório de advogados dos EUA (Gerstein Harrow) apresentou reclamações para tentar apreender 71 milhões de dólares em ethereum congelado após o exploit de abril de 2026 relacionado com o KelpDAO, associado ao Grupo Lazarus, recorrendo a um julgamento legal de 2015 contra a Coreia do Norte para avançar em relação às vítimas reais do ataque em qualquer fila de recuperação.

Como manter-se seguro

Antes de ligar uma carteira a qualquer plataforma de mercado de previsões ou DeFi, os utilizadores devem verificar o endereço do contrato face à documentação oficial da plataforma e confirmar que existe uma auditoria pública de contrato inteligente por uma empresa de segurança reputada. Sinais de alerta incluem falta de relação regulatória divulgada, ausência de contratos auditados e perfis em redes sociais que surgiram recentemente em relação ao nível de atividade que alegam.

Revogar aprovações de tokens após qualquer interação suspeita usando ferramentas como Revoke.cash pode limitar a exposição contínua se o drainer já tiver sido ativado. Usar uma carteira de hardware, em vez de uma carteira quente baseada no browser que detenha valores significativos, ao ligar a plataformas desconhecidas, pode acrescentar uma camada adicional de proteção, já que cada transação exige confirmação física.