ZachXBT sinaliza Polyarb como um mercado de previsões falso, com um drainer de carteira ativo

O investigador on-chain ZachXBT alertou que a Polyarb, um site que se apresenta como uma plataforma de mercado de previsões, está operando um drainer ativo de carteiras e está ganhando alcance por meio de contas cripto em destaque que respondem às postagens dela.

Principais destaques:

• ZachXBT alertou em 4 de maio de 2026 que a Polyarb hospeda um drainer ativo de carteiras, mirando usuários de cripto.
• Contas em destaque que respondem às postagens da Polyarb ampliam o golpe para novas audiências sem perceber.
• O alerta segue a recente exposição de ZachXBT de um escritório de advocacia dos EUA que buscava US$ 71 milhões em fundos congelados ligados ao Lazarus.

O que a Polyarb está fazendo

Drainers de carteiras funcionam disfarçando uma aprovação maliciosa de smart contract como se fosse uma transação rotineira, de modo que, quando o usuário conecta sua carteira e assina o que parece ser uma ação de depósito, saque ou entrada em mercado, o drainer aciona uma aprovação separada e oculta que concede ao atacante acesso total aos fundos da carteira.

Image source: X ZachXBT destacou especificamente um risco de amplificação, ou seja, uma conta cripto em destaque havia respondido a uma postagem da Polyarb, fornecendo à plataforma um alcance orgânico que ela não teria, de outro modo. Ao responder ao conteúdo de uma plataforma de golpe, mesmo de forma cética, o usuário impulsiona essa plataforma diante de toda a audiência do usuário que responde, que pode chegar a milhões, sem qualquer indicação de que a fonte seja maliciosa.

Parte de um acontecimento mais amplo

Falsas plataformas de finanças descentralizadas ( DeFi) e de mercado de previsões se tornaram um vetor de ataque cada vez mais comum em 2026. Operadores de golpes exploram a visibilidade crescente de plataformas legítimas como Polymarket e Kalshi, ambas as quais já divulgaram relações regulatórias com a Commodity Futures Trading Commission (CFTC), criando sites “clones” com branding semelhante e sem contratos auditados.

ZachXBT construiu um histórico consistente ao expor esses e outros riscos relacionados antes que perdas significativas se acumulem. No início deste mês, o investigador revelou que um escritório de advocacia dos EUA (Gerstein Harrow) havia protocolado ações buscando apreender US$ 71 milhões em ethereum congelados após o exploit da KelpDAO em abril de 2026, vinculado ao Grupo Lazarus. Para isso, usou uma decisão judicial de 2015 contra a Coreia do Norte, para avançar na fila de recuperação antes das vítimas reais do hack.

Como ficar seguro

Antes de conectar uma carteira a qualquer plataforma de mercado de previsões ou DeFi, os usuários devem verificar o endereço do contrato com a documentação oficial da plataforma e confirmar que existe uma auditoria pública de smart contract realizada por uma empresa de segurança respeitável. Sinais de alerta incluem não ter relação regulatória divulgada, não ter contratos auditados e perfis em redes sociais que surgiram recentemente em relação ao nível de atividade que alegam.

Revogar aprovações de tokens após qualquer interação suspeita usando ferramentas como Revoke.cash pode reduzir a exposição contínua caso um drainer já tenha sido acionado. Usar uma carteira de hardware, em vez de uma carteira quente baseada no navegador que mantenha valores relevantes, ao conectar a plataformas desconhecidas, pode adicionar uma camada extra de proteção, já que cada transação exige confirmação física.