A Predict.fun, uma plataforma de mercados de previsão acessível através da Binance Wallet, confirmou a 27 de outubro de 2026 que transferências não autorizadas tinham drenado fundos de várias carteiras de utilizadores. A empresa afirmou que as perdas ocorreram em duas vagas distintas, a 22 e a 27 de outubro, e comprometeu-se a reembolsar todas as perdas diretas resultantes do incidente.

Segundo uma análise da empresa de dados blockchain Bitquery, foram afetadas 29 carteiras no total, um número que revê em alta as primeiras informações, que apontavam para pelo menos 19 carteiras atingidas. A primeira vaga de roubos, a 22 de outubro, totalizou 125.029 USDT. A segunda vaga, maior, a 27 de outubro, viu drenados 272.679 USDT. No conjunto, os dois incidentes somam 397.708 USDT.

A investigação preliminar da Predict.fun aponta para uma possível violação do seu site de documentação da API, alojado por um fornecedor terceiro. Como medida de precaução, a plataforma retirou a página de documentação do ar e afirmou que esta permanecerá indisponível até a investigação estar concluída. A empresa ainda não publicou um relatório técnico a detalhar como o acesso foi obtido nem que medidas preventivas se seguirão.

Como os fundos foram movimentados

A Bitquery examinou 33 transações de drenagem ligadas ao incidente e constatou que nenhuma delas chamou os próprios contratos inteligentes da Predict.fun. Em vez disso, as transferências foram assinadas com as chaves privadas pertencentes às próprias carteiras afetadas. A Predict.fun recorre a carteiras inteligentes e permite que os utilizadores interajam com os seus mercados através de ferramentas de programação, uma configuração que dá à camada de API um papel central na forma como as transações são autorizadas.

Os fundos roubados foram movidos da BNB Chain para a Ethereum através de serviços de transferência entre cadeias, de acordo com o rastreio da Bitquery. A partir daí, 166,8 ETH foram enviados para o Tornado Cash, o serviço de mistura sancionado há muito usado para ocultar o destino de ativos criptográficos roubados.

O papel da Binance

Os mercados da Predict.fun são acessíveis através da Binance Wallet, o que dá aos utilizadores uma via de acesso à plataforma, mas a Binance esclareceu que não opera os mercados da Predict.fun nem atua como contraparte nas operações aí realizadas. A plataforma continua a ser um serviço independente apesar da integração.

O incidente surge dois dias depois de a Binance Futures ter lançado contratos perpétuos de pré-lançamento para o token PREDICT, uma coincidência temporal que tem chamado a atenção dada a proximidade com o anúncio do ataque, ainda que não tenha sido estabelecida qualquer ligação causal entre os dois eventos.

Por agora, o método exato utilizado para comprometer as carteiras afetadas permanece por confirmar, tal como a vulnerabilidade precisa por trás da suspeita violação do site de documentação. A Predict.fun não detalhou o alcance nem o calendário do processo de reembolso que prometeu aos utilizadores.