A Copa do Mundo termina hoje. Para muitas pessoas, ela foi a primeira introdução às criptomoedas. Os mercados de previsão são a razão. Eles ofereceram aos fãs de futebol uma nova forma de apostar em resultados de partidas. E esse jeito de apostar parece mais confiável e transparente do que usar casas de apostas tradicionais. Aparentemente, as casas de apostas levaram essa competição a sério e usaram seu poder de lobby para fazer com que o mercado de previsão mais conhecido, o Polymarket, fosse banido em vários países. Durante o torneio em si, o Polymarket foi ou proibido ou adicionado à lista de plataformas ilegais na República Tcheca e na França. Índia, Indonésia e Espanha tomaram medidas semelhantes pouco antes do início do torneio, enquanto Brasil e Argentina o fizeram ainda na primavera.
Por que os torcedores que gostam de apostar estão cada vez mais escolhendo plataformas como o Polymarket em vez das casas de apostas tradicionais? Porque nos mercados de previsão tudo parece mais claro, justo e confiável do que em uma casa de apostas. Todas as complexidades associadas às criptomoedas ficam ocultas. Você pode se cadastrar com o Google, ou conectar MetaMask, Trust Wallet ou qualquer outra carteira. Depois, tudo o que precisa fazer é escolher um resultado e apostar o quanto estiver disposto a arriscar.
Mas por trás dessa simplicidade existem ameaças que até usuários de criptomoedas relativamente experientes podem não conhecer. Imagine o quão vulneráveis são os iniciantes completos, especialmente quando estão empolgados com as apostas.
Essas são as ameaças que quero discutir no artigo de hoje.
Onde o Polymarket Realmente É Mais Justo que uma Casa de Apostas
Quando você faz uma aposta em uma casa de apostas tradicional, a própria empresa é sua contraparte. Ela calcula as odds, incorpora sua margem de lucro nelas, assume o risco de um determinado resultado e pode mudar os termos, limitar o tamanho das suas apostas ou recusar aceitá-las completamente.
O Polymarket usa um modelo diferente. Sua contraparte é outro usuário da plataforma, assim como você. A única diferença entre vocês é a visão sobre o resultado de uma partida ou outro evento. Suponha que esse usuário coloque 60 centavos em um resultado na esperança de receber um dólar, enquanto você coloca 40 centavos no resultado oposto para receber o mesmo dólar. Suas ordens serão automaticamente casadas, criando um par totalmente colateralizado de tokens "Yes" e "No". Quando o evento terminar, um desses tokens poderá ser resgatado por um dólar, dependendo do resultado final.
Tudo no Polymarket é mais flexível do que em qualquer casa de apostas. Todo usuário pode ver todas as ordens enviadas por outros participantes no livro de ordens e definir seu próprio preço. Também pode vender sua aposta antes do fim do evento se mudar de ideia, ou se o mercado se mover a seu favor e a posição já estiver lucrativa. Nesse aspecto, o Polymarket se parece muito mais com uma bolsa do que com uma casa de apostas.
O acerto é feito por meio de smart contracts na rede Polygon. Um smart contract não pode saber o resultado de uma partida ou qualquer outro evento do mundo real. Alguém participando do mercado, portanto, precisa submeter esse resultado. Você pode fazê-lo você mesmo. E se você estiver errado, qualquer outro participante pode contestar sua decisão. A disputa é então colocada em votação pelos detentores do token UMA, e o resultado dessa votação é considerado final. Isso é bem mais transparente do que o processo interno fechado de uma casa de apostas.
Mas transparência não significa necessariamente segurança para o usuário.
O Polymarket Não É Tão Descentralizado Quanto Parece
O Polymarket às vezes é descrito como uma casa de apostas descentralizada. Mas ambas as palavras nessa frase são imprecisas. Primeiro, não é uma casa de apostas, porque não define as odds e não assume o risco de qualquer resultado. Segundo, há muito pouco no Polymarket que seja genuinamente descentralizado.
A documentação do Polymarket chama seu sistema de negociação de "híbrido-descentralizado". As ordens são casadas por um operador centralizado. O gás para registrar as negociações na blockchain é pago através do gateway da plataforma, o que significa que uma negociação não pode ser concluída sem a cooperação da plataforma. Todo novo mercado é criado pela equipe. Embora aceite sugestões da comunidade, os usuários não podem criar novos mercados por conta própria. A equipe do Polymarket também elabora os critérios de resolução e seleciona as fontes que serão usadas posteriormente para determinar o resultado.
Todos esses são exemplos de uma abordagem centralizada. Então, o que exatamente permanece descentralizado? Para ser honesto, eu não sei. Talvez apenas a composição do mercado em si. Qualquer pessoa pode negociar.
À primeira vista, a resolução de disputas é um processo descentralizado. Mas o smart contract que executa a decisão tomada por votação é controlado por um administrador com autoridade para determinar pagamentos manualmente. Curiosamente, um dos endereços de administrador do Polymarket, que tem essa autoridade, está marcado como comprometido no Polygonscan.
Mesmo as regras de um mercado já aberto às vezes podem ser esclarecidas centralmente pela equipe. O Polymarket pode publicar o que chama de "contexto adicional", que os participantes são convidados a considerar durante o processo de resolução de disputas. Esses esclarecimentos são registrados na blockchain e, segundo as regras, não deveriam alterar o significado original da pergunta. Mas a própria necessidade de um mecanismo assim mostra o quanto depende da redação preparada por uma equipe centralizada.
Então, os usuários aqui não dependem menos dos administradores da plataforma do que nas casas de apostas tradicionais.
O Preço na Tela Nem Sempre É o Seu Preço
Imagine que, antes de uma partida, as casas de apostas estão oferecendo odds de 1,25 para o resultado que você escolheu. Em outras palavras, você precisa apostar 80 centavos para ganhar um dólar. Ao mesmo tempo, o Polymarket mostra que a probabilidade do seu resultado é de 75%. Isso significa que você pode comprar tokens "Yes" por 75 centavos? Pode, desde que alguém esteja disposto a colocar 25 centavos no resultado oposto. Mas não há garantia de que alguém o fará.
A probabilidade exibida no Polymarket é frequentemente o ponto médio entre o melhor bid e o melhor ask.
Por exemplo, se o bid for 70 centavos e o ask for 80 centavos, a tela pode mostrar 75%. Mas comprar imediatamente vai custar pelo menos 80 centavos, enquanto vender imediatamente traria apenas 70. Se o spread for maior que 10 centavos, o Polymarket mostra o preço da negociação mais recente em vez do ponto médio, e esse preço pode diferir do mercado atual por vários vezes.
Os grandes mercados de futebol geralmente têm liquidez suficiente para que a diferença entre a probabilidade exibida e o preço realmente disponível seja pequena. Mas em eventos de nicho, quem planeja uma negociação grande também precisa ver quantas ordens opostas estão disponíveis.
As odds de uma casa de apostas podem ser piores e incluir uma margem opaca. Mas o usuário normalmente vê imediatamente o preço pelo qual a aposta será aceita.
Os preços são formados de maneira mais justa no Polymarket, mas os usuários ainda precisam saber como lê-los. Nem todo mundo agindo sob a influência da emoção é capaz de fazer isso.
Cada Aposta É Uma Interação Com uma Wallet Web3
Todo cliente de uma casa de apostas entrega dinheiro à empresa, que fica então responsável por mantê-lo seguro. Um usuário do Polymarket também entrega dinheiro — criptomoedas ou stablecoins — à plataforma, mas a partir desse ponto o usuário assume toda a responsabilidade.
Em troca dos ativos transferidos ao Polymarket, o usuário recebe os tokens internos da plataforma — pUSD. Eles têm quase nenhuma circulação fora da plataforma. São como fichas de cassino: podem ser usados para apostas ou negociações e depois devolvidos à plataforma em troca de ativos cripto comuns.
Tecnicamente, no entanto, esses tokens ficam armazenados na carteira pessoal do usuário, e essa carteira deve ser usada para assinar cada transação.
Mesmo quando você se cadastra com o Google, uma carteira Web3 dedicada é criada para você e incorporada na interface do site do Polymarket. Essa carteira só pode ser acessada pelo seu navegador, o que significa que você sozinho é responsável por manter os fundos nela seguros.
Quando uma carteira externa é usada, assinaturas, aprovações e endereços entram em cena. O usuário sempre vê uma janela técnica da carteira Web3 pedindo para confirmar uma transação. Mas a assinatura EIP-712 usada nesse processo parece um jargão técnico incompreensível para quem não tem conhecimento profundo de tecnologia blockchain. Pergunte a si mesmo: você pessoalmente sempre entende exatamente o que está assinando? Tenho certeza de que muitas pessoas responderiam "não". Caso contrário, não veríamos tantas histórias deprimentes sobre usuários de wallets Web3 perdendo grandes somas após assinarem transações de phishing.
No rabbit.io, evitamos deliberadamente conectar as wallets dos clientes ao nosso site quando você cria ordens de câmbio. Em vez disso, apenas fornecemos um endereço para o qual você precisa enviar a criptomoeda. Você copia esse endereço na sua carteira e então confirma uma transação que você mesmo criou. É claro e seguro.
No Polymarket, contudo, cada transação é gerada automaticamente por scripts no site. Você não precisa copiar nada para lugar nenhum. Tudo o que precisa fazer é clicar em um botão de confirmação no pop-up da carteira. E isso se torna o fundamento para um golpe particularmente perigoso.
O Bookmark Que Pode Drenar Seus Fundos
À medida que o Polymarket fica mais popular, aumenta também o número de ofertas que prometem maneiras de ganhar dinheiro com apostas usando scripts automatizados ou agentes de IA. Procure no YouTube formas de ganhar US$ 1.000 no Polymarket em uma semana e você encontrará muitas opções. Não vou linkar para eles porque não quero chamar atenção para esses vídeos. A maioria é golpe.
A pessoa por trás do vídeo fornece um link para um bot ou um "assistente de IA". Você o segue e vê as instruções: "Abra seu navegador, crie um novo bookmark, copie este código no campo de endereço do bookmark e salve."
Você faz como instruído. Um bookmark aparece na barra do seu navegador. Parece não ser nada além de um link salvo necessário para lançar um bot sofisticado que trabalha com a interface do Polymarket.
Então você abre o Polymarket e clica no bookmark. Nesse momento, sua carteira é esvaziada.
O código armazenado no bookmark faz o seguinte:
- Lê dados do seu navegador, incluindo endereços de carteira, saldos e tokens de autenticação.
- Determina como você fez login — via Google ou via uma carteira.
- Se você entrou com o Google, usa um frame oculto para assinar uma transação de saque.
- Se você entrou por meio de uma carteira, pede que você assine uma mensagem estruturada EIP-712 que parece uma formalidade técnica incompreensível.
- Envia o dinheiro para o endereço do golpista.
Não há a quem culpar pela perda e ninguém para quem transferir a responsabilidade. Você adicionou o código ao seu navegador sozinho. Você clicou no bookmark sozinho. Do ponto de vista do navegador, foi sua ação.
Esse esquema está se espalhando por duas razões. Primeiro, pouquíssimas pessoas entendem o que é EIP-712, por que o navegador está pedindo permissão ou o que essa permissão cobre. Segundo, o golpista não precisa invadir o Polymarket nem desenvolver um exploit sofisticado. Tudo o que precisa é persuadir alguém a colar um pedaço de código. Quando a promessa é dinheiro fácil em uma área tão promissora quanto os mercados de previsão, isso não é especialmente difícil.
Por Que a Copa do Mundo Foi o Momento Perfeito para Golpistas
A engenharia social na indústria de criptomoedas é especialmente eficaz quando três condições estão presentes ao mesmo tempo:
- Os usuários têm muito dinheiro.
- Um novo público chega sem hábitos estabelecidos de segurança em criptomoedas.
- Há enorme demanda por conselhos, estratégias, sinais e "métodos secretos".
A Copa do Mundo criou essas três condições no Polymarket ao mesmo tempo.
Um fã de futebol entende por que uma seleção é mais forte que outra, mas não entende a diferença entre conectar uma carteira, entrar com o Google, assinar uma mensagem, conceder permissão a um smart contract e enviar uma transação. Por isso o criador de um vídeo golpista pode parecer mais conhecedor simplesmente porque demonstra uso confiante de uma plataforma sobre a qual o espectador ouviu muito, mas nunca usou de fato.
Sites de phishing também imitam casas de apostas tradicionais, e contas de casas de apostas são roubadas com malware. Mas as casas de apostas têm procedimentos de reclamação e assumem responsabilidade pelo dinheiro mantido em contas de usuários. Além disso, para qualquer quantia envolvida, a casa de apostas, o cliente e o regulador sabem quem a possui, porque todos os clientes de casas de apostas reguladas são obrigados a verificar sua identidade. Isso não muda o fato de que uma casa de apostas pode impor regras que lhe permitem restringir um jogador bem-sucedido, anular uma aposta ou atrasar a revisão de um saque. Mas é improvável que consiga roubar seu dinheiro completamente.
Se um golpista obtém uma assinatura criptográfica válida e transfere os ativos para seu próprio endereço, porém, muitas vezes não sobra mais ninguém para contestar. Um smart contract não sabe se você autorizou a assinatura conscientemente ou foi enganado a fornecê-la. Para o contrato, uma assinatura ou é válida ou não é.
O Polymarket É Realmente Mais Perigoso que uma Casa de Apostas Tradicional?
Para um iniciante em criptomoedas, pode muito bem ser. O perigo vem de ameaças que um usuário inexperiente nem sequer sabe que existem.
O Polymarket é mais transparente do que uma casa de apostas tradicional quando se trata de formação de preços, acesso a dados de mercado, negociações entre participantes e liquidação onchain. A plataforma não é sua oponente permanente em cada posição e não tem interesse em vê-lo perder.
Mas uma casa de apostas costuma ser mais segura quando os usuários contam com formas familiares de proteção ao consumidor: recuperação de conta, disputas de pagamento e a capacidade de registrar uma reclamação. O Polymarket se esconde atrás de uma fachada de "híbrido de descentralização" para evitar responsabilidade legal por perdas sofridas por seus usuários.
Hoje, os fãs de futebol estão fazendo sua aposta final no vencedor. E espero que, se você decidir fazer essa aposta no Polymarket pela primeira vez, este artigo o tenha ajudado a evitar os principais erros: você não confundirá o preço exibido com o ponto médio, não tomará uma assinatura técnica por uma transação de saque, nem confundirá um programa que drena carteiras com um bookmark útil do navegador.
