La plateforme de marché prédictif Polymarket a interrompu le trading sur sa version internationale le 29 octobre, après que des utilisateurs aient signalé des retraits non autorisés. L’échange est passé en mode « annulation uniquement » et les actions des relais ont été suspendues, selon la page d’état de la plateforme.
En substance, la fuite d’actifs est attribuée à une compromission chez un prestataire tiers. Polymarket a rapidement communiqué qu’elle avait identifié et corrigé un problème sur sa plateforme internationale, précisant que « l’un de nos fournisseurs tiers a été compromis » et qu’elle allait « réparer les préjudices de toute personne affectée », avant de reprendre le trading environ une heure plus tard. Le montant des pertes varie selon les sources. Un relevé examiné par Hudson Rock indiquait environ 2,19 millions de dollars à l’adresse de secours codée en dur dans le script, tandis que la société de sécurité blockchain GoPlus estime les pertes à environ 2,71 millions de dollars.
Les chercheurs ont rapidement pointé du doigt DebugBear, une société britannique de surveillance de performance web. Le vol provient d’un code malveillant distribué par ce service de monitoring en temps réel (RUM). Hudson Rock a pu examiner un échantillon de ce JavaScript malveillant issu d’une adresse DebugBear utilisée par Polymarket. Ce code cherchait spécifiquement les outils de trading et les portefeuilles des utilisateurs connectés.
Le mécanisme de l’attaque repose sur l’exploitation d’une autorité déjà présente dans l’application authentifiée. Le script tentait ensuite soit de vendre les positions de l’utilisateur, soit d’envoyer directement les jetons de position vers une adresse préétablie par l’attaquant. Hudson Rock a précisé que l’examen de l’échantillon n’a pas révélé de routine envoyant des données sensibles comme des mots de passe ou des clés privées à son point de rapport.
Cette affaire illustre parfaitement la vulnérabilité de la chaîne d’approvisionnement logicielle. Le fait qu’un script tiers, censé améliorer l’expérience utilisateur, devienne le vecteur d’un drainage massif est une faille systémique. Arkham data a identifié un portefeuille suspect contenant environ 2,65 millions de dollars, ce qui correspond à l’adresse de secours codée en dur dans le script.
Cette attaque rappelle d’autres incidents. Polymarket avait déjà rapporté une compromission de tiers en juin, où un script malveillant injecté dans son frontend avait entraîné des pertes estimées à environ 3 millions de dollars. L’incident coïncide aussi avec le piratage de Binance, qui avait coûté près de 6 milliards de dollars, bien que ce dernier soit attribué à des acteurs étatiques.
Il demeure inconnu comment le script a été modifié initialement, et les chercheurs n’ont pas pu déterminer combien d’utilisateurs ont été touchés. Ce qui mérite surveillance, c’est la manière dont les prestataires de services de monitoring comme DebugBear vont devoir renforcer leurs audits, car une seule pièce logicielle peut désormais représenter une porte d’entrée dévastatrice pour des systèmes entiers.
Sources
- $2 Million+ Drained From Polymarket Traders in New Supply Chain Attack, SecurityWeek, 30 octobre 2026
- Polymarket confirms cyberattack on third-party provider after outages, The Record, 30 octobre 2026
- Polymarket halts trading after crypto-draining script breach, $2.5M traced, BleepingComputer, 29 octobre 2026
Crédits photo
- Image en une : Servers in a Rack, par Abigor, CC BY-SA 3.0, via Wikimedia Commons (recadrée)
- Image dans l’article : EFTA00002522 – Cluttered server rack filled with colorful cables and networking equipment, par Federal Bureau of Investigation, Public domain, via Wikimedia Commons (recadrée)
