Polycule Grande Roubo Revelado: Por que o Robô de Negociação no Telegram se tornou um campo de caça aos hackers

As previsões de mercado estão a preparar-se para uma explosão de bots de negociação no Telegram, mas por trás desta tendência, encontra-se um novo campo de caça para hackers.

O caso repentino de roubo de 23 milhões de dólares

Em 13 de janeiro, a ferramenta de interação com o mercado de previsão Polycule, conhecida, revelou um incidente de segurança significativo: o seu bot de negociação no Telegram foi invadido por hackers, e aproximadamente 23 milhões de dólares em fundos de utilizadores foram roubados num instante. A equipa reagiu de emergência, o bot foi imediatamente offline, e comprometeu-se na blockchain a compensar os utilizadores prejudicados na rede Polygon. Este incidente volta a soar o alarme — quando a experiência de negociação é condensada numa mensagem do Telegram, quão frágil é a linha de defesa de segurança?

Como funciona o Polycule: o preço da conveniência

A principal atratividade do Polycule é simples: os utilizadores podem navegar pelos mercados, gerir posições e movimentar fundos no Polymarket, tudo sem sair do Telegram. Uma experiência aparentemente fluida, que na realidade se apoia num sistema complexo de backend.

Quando o utilizador digita /start, o sistema gera automaticamente uma carteira Polygon e guarda a sua chave privada — esta escolha de design é crucial. Depois, o utilizador pode realizar transações através de vários comandos: /trending para ver os mercados populares, /search para procurar previsões específicas, colar links do Polymarket para obter cotações, ou usar /buy e /sell para fazer ordens diretamente.

As funcionalidades de destaque do Polycule incluem:

• Gestão de carteiras: o menu /wallet permite ver ativos, retirar fundos, trocar POL/USDC, e até exportar a chave privada
• Ponte entre cadeias: integração profunda com o protocolo deBridge, permitindo aos utilizadores transferir ativos de Solana, com o sistema automaticamente deduzindo 2% de SOL e trocando por POL para pagar taxas de gás
• Copy Trading: uma funcionalidade avançada — os utilizadores podem seguir as operações de outras carteiras por percentagem, montante fixo ou regras personalizadas, incluindo follow reverso e partilha de estratégias

Tudo isto é assinado por um servidor central do Polycule, que assina transações em nome do utilizador, escuta eventos na blockchain e gere continuamente as chaves. A conveniência tem um preço: o risco de centralização acumulado.

Vulnerabilidades sistémicas no modo de bot de chat

A facilidade de ataque aos bots de negociação no Telegram deve-se, em última análise, a três problemas estruturais difíceis de evitar neste modelo:

Primeira linha de defesa falha: armazenamento centralizado de chaves privadas

Praticamente todos os bots de negociação no Telegram armazenam as chaves privadas dos utilizadores nos seus servidores, assinando transações em nome deles. Este design melhora a experiência (sem necessidade de autorização manual), mas também significa que: se o servidor for invadido, a base de dados comprometida, ou se um operador malicioso divulgar configurações, o atacante pode exportar em massa as chaves privadas de todos os utilizadores, transferindo milhões de dólares num instante.

Defeito na segunda linha de defesa: autenticação única

A autenticação depende inteiramente da conta do Telegram. Se o utilizador sofrer um sequestro de SIM, perder o telefone ou a conta for roubada, o atacante, sem precisar de palavras-passe ou frases de recuperação, pode assumir completamente a carteira do bot apenas controlando a conta do Telegram.

Falta de mecanismo de confirmação do utilizador

As transações tradicionais de carteiras exigem confirmação manual no dispositivo local — a última linha de defesa. Mas no modo de bot, a conversa entre utilizador e bot é assíncrona e textual, sem qualquer etapa clara de “confirmação”. Se houver uma vulnerabilidade ou manipulação na lógica do backend, o sistema pode transferir fundos automaticamente sem que o utilizador perceba.

Áreas de ataque específicas reveladas pelo incidente do Polycule

Com base no design funcional do Polycule, o roubo e os riscos potenciais podem concentrar-se nas seguintes áreas:

Vulnerabilidade na exportação de chaves privadas

O menu /wallet permite exportar a chave privada a qualquer momento, indicando que o backend armazena dados de chaves reversíveis (não apenas hashes unidirecionais). Se houver injeção SQL, APIs não autorizadas ou vazamento de logs, o atacante pode usar a funcionalidade de exportação para extrair em massa as chaves privadas — cenário que coincide com o roubo em grande escala.

Possível exploração SSRF através de análise de URLs

O Polycule incentiva os utilizadores a submeter links do Polymarket para obter rapidamente detalhes do mercado, mas se a validação de URLs for fraca, um atacante pode falsificar links apontando para redes internas ou metadados de serviços na cloud. Quando o backend analisa esses links, pode inadvertidamente expor IPs internos, credenciais de bases de dados, chaves AWS, entre outros dados sensíveis.

Risco na escuta de eventos do Copy Trading

A funcionalidade de copiar operações exige que o bot escute em tempo real as ações na blockchain do alvo. Se esses eventos de escuta puderem ser falsificados ou o sistema não tiver filtros de segurança, os utilizadores a seguir podem ser induzidos a interagir com contratos maliciosos, levando ao bloqueio de fundos ou ao roubo direto.

Riscos múltiplos na ponte entre cadeias e troca automática

O processo de trocar 2% de SOL por POL envolve consulta de taxas, controle de slippage, chamadas a oráculos e execução de permissões. Se esses parâmetros não forem rigorosamente validados, hackers podem amplificar perdas na troca, transferir orçamentos de gás ou falsificar recibos de deBridge para criar depósitos falsos ou entradas duplicadas.

Como os projetos e utilizadores devem reagir

Recomendações para as equipas de projeto

• Publicar uma análise técnica completa antes de retomar o serviço, explicando claramente os pontos específicos do ataque
• Realizar auditorias de segurança independentes focadas na gestão de chaves, isolamento de permissões e validação de entradas
• Revisar o controlo de acesso ao servidor, o processo de deploy de código e as normas de operação
• Introduzir confirmações secundárias ou limites para operações críticas (como exportação de chaves ou transferências de grande valor) para reduzir riscos de ponto único
• Estabelecer monitorização de segurança transparente e mecanismos de resposta a incidentes, divulgando periodicamente aos utilizadores

Recomendações para os utilizadores finais

• Não manter fundos de grande valor na carteira do bot por longos períodos; definir limites de exposição
• Retirar lucros rapidamente, evitando que os ganhos fiquem acumulados no bot
• Ativar a verificação em duas etapas (Two-Step Verification) e opções avançadas de segurança no Telegram
• Gerir diferentes contas do Telegram em dispositivos distintos para evitar pontos únicos de falha
• Esperar por uma declaração clara do projeto sobre melhorias de segurança e análise do incidente antes de investir mais fundos, evitando adicionar capital de forma precipitada

O futuro do mercado de previsão e dos bots no Telegram

No curto prazo, os bots de negociação no Telegram continuarão a ser uma porta popular para mercados de previsão e memecoin, devido à sua conveniência irresistível. Mas este setor também continuará a ser um campo de caça para atacantes — enquanto as chaves privadas dos utilizadores permanecerem centralizadas, o risco persistirá.

A chave está na postura das próprias plataformas. A segurança não deve ser uma correção posterior, mas uma componente integrada desde o início do produto. Seja através de assinatura local, carteiras MPC ou integração de hardware, há caminhos viáveis. Além disso, a transparência na comunicação de melhorias de segurança e a construção de confiança são fatores essenciais na competição de mercado.

Este incidente do Polycule, na verdade, envia uma mensagem a toda a indústria: enquanto desfrutamos da conveniência dos atalhos de chat, também devemos pagar o preço pelo risco de centralização.