Código escondido em site roubou R$ 2,7 milhões de clientes: o que todo lojista precisa saber

Um site funcionando normalmente, clientes navegando sem desconfiança — e, nos bastidores, um código escondido esvaziando contas. Foi exatamente isso que aconteceu com a Polymarket, plataforma americana de apostas, em outubro de 2025. O episódio é um exemplo concreto de um risco que afeta qualquer loja virtual, grande ou pequena, e vale a pena entender o que ocorreu antes de pensar no que fazer.

O que aconteceu na prática

Segundo o The Hacker News, criminosos substituíram um arquivo de um serviço externo que o site da Polymarket carregava automaticamente. Esse serviço, chamado DebugBear, servia para medir a velocidade das páginas — algo completamente rotineiro em sites. Os criminosos comprometeram esse serviço terceirizado e trocaram o arquivo original por um código malicioso.

Quando os clientes acessavam o site normalmente, o código oculto já estava rodando em segundo plano, sem qualquer sinal visível. Ele vendeu posições de traders que estavam logados e transferiu o dinheiro para os criminosos. No total, cerca de US$ 2,7 milhões foram subtraídos de 726 carteiras de clientes, de acordo com a mesma fonte.

A Polymarket informou que vai reembolsar os afetados, mas o estrago à confiança dos clientes já estava feito.

Por que isso acontece em qualquer site

A maioria dos sites — inclusive lojas virtuais pequenas — carrega ferramentas externas para funcionar: plugins de chat, botões de compartilhamento, sistemas de pagamento, rastreadores de visita, scripts de velocidade. Cada uma dessas ferramentas é um código que outra empresa escreveu e que roda dentro do seu site.

Foto de 377053 no Pixabay.

O problema é simples: se o serviço externo for comprometido, o código ruim entra no seu site automaticamente, junto com o código legítimo. Você não muda nada no seu lado, mas o site passa a executar instruções que você nunca autorizou.

Isso não exige que o criminoso invada diretamente a sua loja. Basta que ele invada um dos fornecedores que você usa.

O que um lojista pode fazer

Não é necessário entender de programação para adotar precauções básicas. Algumas medidas concretas:

• Reduza o número de ferramentas externas no seu site. Quanto menos código de terceiros rodando, menor a superfície de risco. Se um plugin ou ferramenta não está sendo usada, retire.
• Pergunte à sua agência ou ao desenvolvedor do seu site quais serviços externos estão carregados nas páginas e se há algum processo de verificação periódica.
• Fique de olho em comunicados dos fornecedores que você usa. Empresas sérias avisam quando detectam incidentes de segurança. Se você usa plataformas de loja virtual como Shopify, Nuvemshop ou similares, siga os canais oficiais delas.
• Ative alertas de transação nos seus meios de pagamento. Qualquer movimentação fora do padrão fica mais fácil de detectar cedo.
• Tenha um plano de comunicação com clientes. Se algo acontecer, saber como e quando avisar os afetados reduz o dano à reputação.

O que o caso ensina sobre confiança

O ponto mais importante do episódio da Polymarket não é técnico — é sobre confiança. Os clientes estavam no site, logados, fazendo o que sempre faziam. Nada indicava problema. E mesmo assim o dinheiro saiu.

Para um lojista online, esse cenário tem uma consequência direta: o cliente não vai distinguir se o problema foi na sua loja ou num serviço que você contratou. Para ele, o site é seu. A responsabilidade, na percepção do consumidor, é sua também.

Isso não significa que você precisa se tornar um especialista em segurança digital. Significa que vale a pena tratar os fornecedores digitais com o mesmo cuidado que você trata um fornecedor de produto: verificar a reputação, entender o que está contratando e não acumular dependências desnecessárias.

O The Hacker News destaca que o vetor do ataque — um script de velocidade de páginas substituído por código malicioso — é algo que qualquer site pode ter sem saber. A Polymarket é uma plataforma grande, com equipe técnica. Mesmo assim, o problema passou despercebido até o estrago estar feito.

O que isso tem a ver com o seu WhatsApp

Quem vende pelo WhatsApp depende da confiança que o cliente deposita em cada conversa. Se um incidente de segurança vazar dados ou movimentar dinheiro sem autorização, a primeira reação do cliente é mandar mensagem perguntando o que aconteceu — ou simplesmente sumir. Manter o canal de atendimento ativo, ágil e com respostas claras nesses momentos pode fazer diferença entre perder ou manter um cliente. Segurança digital e atendimento caminham juntos: um problema técnico vira problema de relacionamento em questão de minutos.

Fontes

• The Hacker News — Hackers Steal About $2.7 Million From Polymarket Traders via Hijacked DebugBear Script

Foto de Kevin Ache no Unsplash.