Polymarket met en cause un prestataire dans un piratage de compte

Polymarket vient de confirmer qu’une faille de sécurité a touché certains comptes utilisateurs. Elle indique qu’une vulnérabilité liée à un fournisseur tiers d’authentification aurait permis des accès non autorisés et entraîné des pertes pour plusieurs victimes. La plateforme affirme avoir corrigé le problème et indique qu’il n’existe plus de risque persistant.

Ce que Polymarket admet et ce qu’il garde sous silence

Polymarket a confirmé sur Discord avoir identifié et résolu un incident de sécurité. Ce dernier aurait touché un petit nombre d’utilisateurs, et serait lié à une faille chez un prestataire d’authentification tiers. Cette situation intervient alors que la plateforme semblait reprendre de vigueur malgré certaines inquiétudes sur le marché.

La plateforme Polymarket ne donne ni le nombre de comptes impactés, ni le montant total des pertes, ni le nom du fournisseur en cause. Cette absence n’est pas un détail. Mais, en sécurité, ce qu’on ne dit pas devient vite le terrain de jeu des spéculations.

Et puis il y a la formule “aucun risque persistant”. Elle rassure, évidemment. Mais elle ne répond pas à la question la plus simple. En effet, comment une faille d’authentification peut-elle mener à des fonds vidés aussi vite ? Tant que le mécanisme précis n’est pas expliqué, le doute s’installe et la “faille de sécurité Polymarket” devient un mot-clé malheureusement vivant.

Magic Labs : le suspect idéal

Sur les réseaux, beaucoup pointent du doigt Magic Labs parce que les témoignages semblent se concentrer sur des comptes créés via ce type de connexion “e-mail vers wallet automatique”.

Ce soupçon n’est pas sorti de nulle part. Polymarket documente depuis longtemps une inscription via Magic Labs (connexion e-mail sans mot de passe) pour simplifier l’onboarding. Magic, de son côté, explique clairement que ses embedded wallets créent des portefeuilles non-custodiaux à la connexion, via différentes méthodes d’authentification.

Mais attention ! À ce stade, Polymarket n’a pas confirmé publiquement quel prestataire est en cause. De plus, elle n’a publié aucune analyse technique complète. En clair, Magic Labs est un nom qui “colle” au scénario mais l’enquête publique n’a pas livré son dernier mot.

Le plus ironique, c’est que Polymarket a déjà été rattrapé par ce thème. En septembre 2024, des utilisateurs se plaignaient de drains de fonds après connexion via Google. Il s’en suivait des transferts USDC vers des adresses de phishing, alors que les utilisateurs de wallet extension semblaient moins exposés. Et comme si ça ne suffisait pas, on a signalé une campagne de phishing via les commentaires en novembre 2025, avec plus de 500 000 $ de pertes rapportées.