Polymarket a ajouté un nouveau paramètre qui permet aux traders d’envoyer des retraits uniquement vers des portefeuilles préalablement approuvés.
Cette fonctionnalité arrive environ deux semaines après qu’un script piraté a siphonné quelque 2,7 millions de dollars des comptes d’utilisateurs.
À quoi sert le nouveau verrou de retrait de Polymarket ?
Josh Stevens, vice-président de l’ingénierie chez Polymarket, a annoncé lundi que la plateforme allait ajouter une nouvelle fonctionnalité qui permettra aux traders d’envoyer des retraits uniquement vers des portefeuilles préalablement approuvés. L’annonce a été faite dans une publication sur X depuis le compte @devjoshstevens.
Ajouter une nouvelle adresse de portefeuille à un compte utilisateur ne prend que deux étapes. Le trader doit confirmer la demande par e-mail, puis attendre 48 heures. Si le trader n’est pas à l’origine de la demande, il peut l’annuler directement depuis cet e-mail.
Grâce à cette mesure, les attaquants ne pourront plus envoyer d’argent vers un nouveau portefeuille sans passer la vérification par e-mail et attendre les deux jours requis. Stevens a indiqué que l’objectif était de s’assurer que les attaquants ne puissent pas envoyer d’argent vers une adresse que l’utilisateur ne contrôle pas.
Cependant, le verrouillage ne résout pas le problème à l’origine de la faille dont Polymarket a été victime il y a seulement deux semaines. Ce piratage a entraîné le siphonnage d’environ 2,7 millions de dollars sur les comptes des utilisateurs. Il a été réalisé au moyen d’un script tiers exécuté sur le site de Polymarket et ayant accès aux sessions actives.
Polymarket a connu un problème similaire plus tôt cette année, en juin, lorsqu’une attaque par script tiers a entraîné le siphonnage d’environ 3 millions de dollars sur au moins 11 portefeuilles, selon de précédents articles de Cryptopolitan. Une faille survenue en décembre 2025 chez un fournisseur de services d’authentification a également touché des comptes utilisateurs.
Chacun de ces incidents impliquait un prestataire externe, mais rien ne permet de les relier à un même attaquant.
Comment le piratage de Polymarket s’est-il produit et que va-t-il se passer ensuite ?
Le 29 octobre, Polymarket a suspendu les transactions sur sa plateforme internationale après que des attaquants ont pris le contrôle d’un script de DebugBear, une entreprise britannique qui surveille la vitesse des sites Web. Le script a été remplacé par du code conçu pour siphonner les portefeuilles.
Les chercheurs de Hudson Rock ont découvert que le code vérifiait si un visiteur était connecté à Polymarket. Il consultait ensuite ses soldes et ses positions ouvertes. Enfin, il utilisait les outils de trading du site pour vendre des positions et envoyer l’argent vers le portefeuille d’un attaquant.
Hudson Rock a également découvert que le code du site de Polymarket consignait la suppression du script. Polymarket a déclaré avoir transmis l’affaire aux autorités judiciaires.
Bitquery a indiqué que les attaquants avaient dérobé 2,73 millions de dollars à 737 comptes en une heure environ, entre 17 h 10 et 18 h 10 UTC. Ils ont effectué 985 retraits, chacun assorti d’une autorisation valide. Les contrats intelligents les ont donc considérés comme de véritables opérations effectuées par les utilisateurs.
Un compte a perdu 358 369 dollars lors d’un seul retrait, tandis que 276 comptes ont perdu moins de 100 dollars chacun. Les parts de marché prédictif de 33 autres utilisateurs ont également été dérobées.
Polymarket a déclaré qu’elle dédommagerait intégralement tous ses utilisateurs, mais que les personnes ayant perdu moins de 10 000 dollars seraient remboursées en premier.
Binance et Polymarket ont également demandé aux validateurs de Polygon d’approuver un hard fork. Un hard fork est une modification logicielle du réseau que tous les validateurs doivent adopter. Celui-ci permettrait de transférer environ 70,49 millions de jetons POL gelés, d’une valeur d’environ 6,5 millions de dollars, hors des portefeuilles des attaquants. La proposition a été publiée le 4 novembre et présentée lors d’un appel consacré à la gouvernance de Polygon le 5 novembre. Le vote et la date restent à fixer.
D’autres entreprises renforcent également leur sécurité. Mardi, la société de cybersécurité CertiK aurait déclaré, à la suite du piratage de Binance ayant entraîné la perte de 6,3 milliards de dollars, que les plateformes d’échange devraient fixer des plafonds stricts en dollars pour les sommes conservées dans des portefeuilles actifs, plutôt que de s’appuyer uniquement sur des ratios de stockage à froid.
Si vous lisez ceci, vous avez déjà une longueur d’avance. Gardez-la grâce à notre newsletter.