Des utilisateurs de Polymarket perdent leurs fonds après un piratage

Polymarket a suspendu ses échanges pendant environ une heure après le détournement d’au moins 2,6 millions de dollars appartenant à ses utilisateurs. L’attaque n’aurait pas visé la blockchain elle-même, mais un outil de mesure des performances intégré au site, révélant une faiblesse souvent négligée des plateformes non dépositaires.

Un simple script de suivi a ouvert l’accès aux comptes

L’incident a commencé le 29 octobre sur la plateforme internationale Polymarket.com. Des utilisateurs ont signalé la vente de leurs positions et le transfert de leurs actifs sans autorisation. L’un d’eux affirmait avoir perdu 800000 dollars, tandis qu’un autre compte aurait été vidé de 600000 dollars.

Polymarket a d’abord basculé son marché en mode « cancel-only ». Les traders pouvaient annuler leurs ordres existants, mais ne pouvaient plus effectuer de nouvelles opérations. Les actions du service chargé de transmettre les transactions signées vers la blockchain, ont également été suspendues.

Les informations disponibles permettent de reconstituer les principales étapes de l’incident :

• Une solution tierce intégrée au site a été compromise ;
• Un code JavaScript malveillant aurait ciblé les sessions déjà connectées ;
• Les positions de certains utilisateurs ont été vendues sans leur consentement ;
• Les actifs obtenus ont ensuite été envoyés vers une adresse contrôlée par l’attaquant ;
• Plus de 700 comptes auraient été affectés, pour au moins 2,6 millions de dollars ;
• Polymarket promet de rembourser intégralement les victimes.

L’interruption a duré une heure. La plateforme a ensuite annoncé avoir corrigé le problème et rétabli l’ensemble de ses services. Elle a assuré, tout en précisant avoir transmis le dossier aux autorités britanniques :

Toute personne affectée sera intégralement indemnisée.

Le montant définitif n’a cependant pas encore été communiqué. Les estimations reposent principalement sur les mouvements observés vers une adresse attribuée à l’attaquant. Le nombre exact de victimes et les modalités du remboursement restent également à préciser.

La blockchain était intacte, mais l’interface de Polymarket ne l’était plus

Les premières analyses on-chain désignent DebugBear, une entreprise britannique spécialisée dans le suivi des performances des sites web. Son service Real User Monitoring repose sur un script intégré aux pages de ses clients afin de mesurer les temps de chargement et l’expérience des visiteurs.

Après la compromission de cette infrastructure, le script légitime aurait été remplacé ou modifié pour intégrer un code malveillant. Celui-ci vérifiait si le visiteur était connecté à Polymarket, puis cherchait à utiliser sa session active pour vendre ses positions et transférer ses actifs.

Les chercheurs de Hudson Rock ont repéré dans ce code une adresse servant de destinataire aux fonds. L’analyse de la blockchain montre que 28,6 millions de jetons POL, valorisés à environ 2,57 millions de dollars, ont ensuite été distribués entre plusieurs portefeuilles.

DebugBear a reconnu être confronté à « un incident de sécurité en cours » et demandé à ses clients de retirer son code intégré. Cette mécanique apporte une nuance essentielle. L’attaquant n’aurait pas cassé Polygon, falsifié une transaction on-chain ni compromis le contrat central du marché prédictif. Il aurait détourné la couche web utilisée pour préparer et autoriser les opérations.

Une plateforme peut donc rester techniquement non dépositaire tout en exposant ses utilisateurs par son interface. Lorsque le navigateur charge un composant externe, ce fournisseur hérite indirectement d’une position de confiance. S’il est compromis, le code affiché à l’écran peut devenir plus dangereux qu’une faille dans le protocole lui-même.

Deux attaques similaires exposent un risque structurel

L’épisode est d’autant plus préoccupant qu’il ne constitue pas un cas isolé. En juin, la compromission d’un autre prestataire avait déjà permis l’injection d’un code malveillant dans l’interface de Polymarket. Environ 3 millions de dollars avaient alors été dérobés à moins de quinze comptes.

En cumulant les deux incidents, près de 5,6 millions de dollars auraient été détournés en quelques mois par l’intermédiaire de fournisseurs tiers. La répétition déplace le débat : le problème ne tient plus seulement à un prestataire défaillant, mais à la manière dont Polymarket contrôle les scripts exécutés sur son site.

La promesse de remboursement limite la perte financière directe pour les traders, sans supprimer le risque opérationnel. Une position vendue pendant un marché volatil ne peut pas toujours être reconstruite à l’identique. L’indemnisation devra donc déterminer si elle couvre uniquement les fonds détournés ou également la valeur des positions clôturées contre la volonté des utilisateurs.

L’incident rappelle enfin qu’un portefeuille personnel ne protège pas contre tous les scénarios. Une session connectée, une autorisation encore valide ou une signature obtenue par une interface compromise peuvent suffire. Pour Polymarket, le véritable chantier consiste désormais à réduire les dépendances externes et à empêcher qu’un outil secondaire puisse de nouveau commander des opérations financières.