PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
Polymarket: o que um script externo pode fazer na sessão?
A presença de um fornecedor conhecido precisa acompanhar a revisão do código entregue e das operações que ele pode alcançar dentro da página.
Por Pentesty
Separe o incidente dos testes propostos
No relato de 30 de outubro de 2026, a Polymarket informou que um script externo comprometido usou sessões ativas para vender posições e movimentar fundos em 29 de outubro. O comunicado inclui US$ 2,7 milhões em devoluções ligadas ao ataque; não demonstra que todos os pagamentos terminaram.
Na análise estática da Hudson Rock, o código procura o cliente de negociação e o assinador presentes na página. Os pesquisadores não executaram a amostra nem comprovaram cada caminho. Os exercícios abaixo são propostas da Pentesty para um ambiente autorizado.
Comprove quais bytes o navegador recebe
A documentação de SRI explica a comparação do recurso recebido com um hash esperado, incluindo requisitos de CORS entre origens diferentes. Escolha um arquivo aprovado para o exercício e registre conteúdo, versão e valor de integridade antes de avaliar o navegador.
Na prévia controlada, compare a entrega aprovada com uma cópia inofensiva alterada. Registre carregamento ou rejeição, mensagem observada e operação legítima preservada. Combine como uma atualização autorizada mudará o arquivo e sua referência. Se a integração não permitir fixar conteúdo, documente essa limitação e examine outra entrega ou isolamento com o responsável.
Compare uma aba nova com uma já aberta
Prepare duas sessões sintéticas: uma iniciada depois da intervenção e outra aberta antes da mudança. Use instrumentação inofensiva, contas de teste e destinos fictícios. Remova a integração no ambiente autorizado e observe o que cada sessão ainda pode solicitar. Registre separadamente versão servida, estado da página e decisão do componente que autoriza a ação.
Defina previamente quais sessões encerrar e como comprovar o resultado. Uma captura da página nova responde a uma pergunta diferente da observação da aba anterior. Preserve registros comparáveis, sem credenciais ou dados pessoais. O roteiro de observação no Magento ajuda a documentar condições da navegação; aqui, acrescente a continuidade da autoridade autenticada.
Entregue um aceite que possa ser repetido
Reúna os resultados com os responsáveis pela aplicação e pelo negócio. Para cada exceção, registre justificativa, prazo e responsável. Documente o que continuou funcionando e as combinações de navegador, autenticação ou integração fora da amostra.
Relacione a mudança aprovada ao resultado observado. Defina quando repetir o teste após mudanças de fornecedor, arquivo ou política. Uma proposta de registro contém:
- Entrega: recurso aprovado, versão observada e resultado do ensaio de integridade.
- Sessão: condição inicial, operação permitida, tentativa recusada e registro de encerramento.
- Decisão: responsável pelo aceite, limites da avaliação e pendências com revisão prevista.
Perguntas frequentes
SRI substitui a revisão das permissões da aplicação?
SRI trata da correspondência entre o arquivo recebido e o conteúdo esperado. Registre também quais operações a sessão pode solicitar e quais condições autorizam sua execução.
Uma CSP que permite o fornecedor encerra a avaliação?
Examine a política recebida e o resultado do ensaio. Origem declarada, integridade do arquivo e operações alcançáveis precisam aparecer como evidências separadas no aceite.
Qual evidência pedir sobre uma aba que já estava aberta?
Registre seu estado inicial, as solicitações observadas após a mudança e o efeito do encerramento da sessão. Declare as combinações que não foram exercitadas.
É necessário usar carteiras ou valores reais?
Planeje um fluxo autorizado com contas, dados, destinos e ações sintéticos. Combine com os responsáveis as condições representativas e os limites do que o exercício pode comprovar.
Fontes e referências
- Polymarket: comunicado do incidente de 29 de outubro
- Hudson Rock: análise estática do script
- MDN: verificação de conteúdo com SRI
Análise original da Pentesty, publicada em 1 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.