La plateforme de marchés prédictifs Polymarket a annoncé officiellement que ses fonctionnalités de trading étaient entièrement rétablies. Elle a également réaffirmé qu’elle indemniserait intégralement tous les traders lésés lors de cette attaque visant sa chaîne d’approvisionnement front-end.

L’incident de sécurité trouve son origine dans le piratage du prestataire tiers de surveillance DebugBear. Un script malveillant a été injecté dans les pages afin de dérober les identifiants de session des utilisateurs, entraînant la vente non autorisée des positions de près d’un millier de comptes et le vol de leurs actifs. Après l’incident, la plateforme a immédiatement suspendu les transactions et recherché les failles. Elle a également transmis les éléments du dossier aux autorités compétentes et coopéré avec une équipe d’enquêteurs spécialisés dans la blockchain pour suivre les fonds en POL et en stablecoins transférés par les pirates.

Polymarket indique que la faille a été corrigée. Plusieurs dispositifs de protection ont été ajoutés, notamment la vérification des scripts côté interface, le blocage des signatures suspectes et la détection des mouvements inhabituels sur les comptes, afin de réduire le risque de nouvelles attaques similaires visant la chaîne d’approvisionnement de l’interface. Le plan d’indemnisation prévoit de vérifier un par un le détail des pertes des utilisateurs touchés et de les indemniser sur la base de leurs avoirs avant le vol. La plateforme ouvrira ultérieurement un canal de déclaration et publiera l’avancement des indemnisations.

À la suite de ces annonces, la panique à court terme autour de POL s’est quelque peu apaisée. Le marché reste toutefois sur ses gardes. D’une part, les 28,64 millions de POL que les pirates ont échangés puis transférés circulent toujours sur la blockchain ; s’ils arrivent ensuite sur des plateformes d’échange, ils pourraient encore exercer une pression à la vente. D’autre part, deux incidents similaires d’intrusion via des scripts tiers ont révélé les faiblesses de la sécurité de l’interface. Le rétablissement de la confiance à long terme prendra du temps.

Les analystes rappellent que, même si la plateforme s’engage à indemniser intégralement les utilisateurs, ceux-ci doivent se renseigner sur la procédure de déclaration, les délais et les justificatifs requis. Ils leur conseillent également de révoquer régulièrement les autorisations accordées à leurs portefeuilles et de se méfier des demandes de signature provenant de pages web inconnues. Les jetons liés aux marchés prédictifs sont très volatils et leurs cours à court terme peuvent facilement être affectés par des informations sur le suivi des fonds ou l’avancement des indemnisations.