ZachXBT marca a Polyarb como um mercado de previsões falso com um drainer de carteiras ativo

O investigador onchain ZachXBT alertou que a Polyarb, um site que se apresenta como uma plataforma de mercados de previsão, está a operar um “wallet drainer” ativo e está a ganhar alcance através de contas de destaque em cripto que respondem aos seus posts.

Principais conclusões:

• ZachXBT alertou em 4 de maio de 2026 que a Polyarb aloja um wallet drainer ativo que tem como alvo utilizadores de cripto.
• Contas de destaque a responder a publicações da Polyarb amplificam a burla para novos públicos sem se aperceberem disso.
• O alerta surge depois da recente divulgação, por parte de ZachXBT, de um escritório de advogados nos EUA que procurava 71 milhões de dólares em fundos congelados ligados ao Lazarus.

O que a Polyarb está a fazer

Os “wallet drainers” funcionam disfarçando uma aprovação de contrato inteligente malicioso como se fosse uma transação de rotina, de modo que, quando um utilizador liga a sua carteira e assina o que parece ser uma ação de depósito, de reivindicação ou de entrada num mercado, o drainer desencadeia uma aprovação separada e oculta que concede ao atacante acesso total aos fundos da carteira.

Image source: X ZachXBT destacou especificamente o risco de amplificação, ou seja, uma conta cripto de destaque respondeu a uma publicação da Polyarb, dando à plataforma um alcance orgânico que, de outra forma, não obteria. Ao responder ao conteúdo de uma plataforma de burlas, mesmo de forma céptica, coloca essa plataforma à frente da audiência inteira do utilizador que respondeu — que pode ascender aos milhões — sem qualquer indicação de que a origem seja maliciosa.

Parte de um acontecimento mais vasto

Falsas plataformas de finanças descentralizadas (DeFi) e de mercados de previsão tornaram-se um vetor de ataque cada vez mais comum em 2026. Os operadores de burlas exploram a visibilidade crescente de plataformas legítimas como Polymarket e Kalshi, ambas com relações regulatórias com a Commodity Futures Trading Commission (CFTC) já divulgadas, ao criarem sites “semelhantes” com branding parecido e sem contratos auditados.

ZachXBT construiu um historial consistente de expor estas e outras ameaças relacionadas antes de perdas significativas se acumularem. No início deste mês, o investigador revelou que um escritório de advogados nos EUA (Gerstein Harrow) tinha apresentado pedidos para sequestrar 71 milhões de dólares em ethereum congelado após o exploit da KelpDAO de abril de 2026, associado ao Lazarus Group, usando uma decisão judicial de 2015 contra a Coreia do Norte para avançar à frente das vítimas reais de um hack em qualquer fila de recuperação.

Como manter-se seguro

Antes de ligar uma carteira a qualquer plataforma de mercados de previsão ou DeFi, os utilizadores devem verificar o endereço do contrato face à documentação oficial da plataforma e confirmar que existe uma auditoria pública de contrato inteligente por uma empresa de segurança reputada. Sinais de alerta incluem ausência de relação regulatória divulgada, inexistência de contratos auditados e perfis em redes sociais que surgiram recentemente face ao nível de atividade que alegam.

Revogar aprovações de tokens após qualquer interação suspeita, usando ferramentas como Revoke.cash, pode limitar a exposição contínua se o drainer já tiver sido acionado. Usar uma carteira hardware, em vez de uma carteira quente baseada no navegador que detenha montantes significativos, ao ligar-se a plataformas desconhecidas, pode acrescentar uma camada extra de proteção, já que cada transação exige confirmação física.