ZachXBT denuncia Polyarb como um mercado de previsões falso com um drainer de carteira ativo

O investigador on-chain ZachXBT alertou que a Polyarb, um site que se apresenta como uma plataforma de mercado de previsões, está executando um drainer ativo de carteiras e ganhando alcance por meio de contas cripto em destaque que estão respondendo às publicações dela.

Principais pontos:

• ZachXBT alertou em 4 de maio de 2026 que a Polyarb hospeda um drainer ativo de carteiras que mira usuários de cripto.
• Contas em destaque que respondem às publicações da Polyarb ampliam o golpe para novos públicos sem perceber.
• O alerta ocorre após a recente exposição de ZachXBT de um escritório de advocacia dos EUA que buscava US$ 71 milhões em fundos congelados ligados ao Lazarus.

O que a Polyarb está fazendo

Drainers de carteiras funcionam disfarçando uma aprovação maliciosa de contrato inteligente como uma transação de rotina, de modo que, quando o usuário conecta sua carteira e assina o que parece ser uma ação de depósito, resgate ou entrada no mercado, o drainer dispara uma aprovação separada e oculta que concede ao atacante acesso total aos fundos da carteira.

Source de imagem: X ZachXBT destacou especificamente um risco de amplificação, ou seja, uma conta cripto em destaque tinha respondido a uma publicação da Polyarb, dando à plataforma um alcance orgânico que ela não conseguiria de outra forma. Responder ao conteúdo de uma plataforma de golpe, mesmo de forma cética, coloca essa plataforma diante de toda a audiência do usuário que respondeu, que pode chegar a milhões, sem qualquer indicação de que a fonte seja maliciosa.

Parte de um acontecimento mais amplo

Plataformas falsas de finanças descentralizadas ( DeFi) e de mercado de previsões se tornaram um vetor de ataque cada vez mais comum em 2026. Operadores de golpes exploram a visibilidade crescente de plataformas legítimas como Polymarket e Kalshi, ambas as quais divulgaram relações regulatórias com a Commodity Futures Trading Commission (CFTC), criando sites “clones” com branding semelhante e sem contratos auditados.

ZachXBT construiu um histórico consistente de expor essas e outras ameaças relacionadas antes que perdas significativas se acumulem. No início deste mês, o investigador revelou que um escritório de advocacia dos EUA (Gerstein Harrow) entrou com ações buscando apreender US$ 71 milhões em ethereum congelados após o exploit de abril de 2026 da KelpDAO ligado ao Grupo Lazarus, usando uma decisão judicial de 2015 contra a Coreia do Norte para sair na frente em qualquer fila de recuperação, antes das vítimas reais do hack.

Como ficar seguro

Antes de conectar uma carteira a qualquer plataforma de mercado de previsões ou DeFi, os usuários devem verificar o endereço do contrato na documentação oficial da plataforma e confirmar que existe uma auditoria pública de contrato inteligente feita por uma empresa de segurança respeitável. Sinais de alerta incluem ausência de relação regulatória divulgada, falta de contratos auditados e perfis em redes sociais que surgiram recentemente em relação ao nível de atividade que alegam.

Revogar aprovações de tokens após qualquer interação suspeita usando ferramentas como Revoke.cash pode limitar a exposição contínua se um drainer já tiver sido acionado. Usar uma carteira hardware, em vez de uma carteira quente baseada no navegador que mantém valores significativos, ao conectar a plataformas desconhecidas, pode adicionar uma camada extra de proteção, já que cada transação exige confirmação física.