Un sèche-cheveux, un capteur météo sans surveillance, deux opérations soigneusement calculées.

Les 6 et 15 avril 2026, la sonde météorologique de Météo-France située à l'aéroport Charles de Gaulle a été chauffée avec un dispositif de chauffage portable, faisant grimper les relevés de température de manière anormale en peu de temps. La température réelle à l'aéroport Charles de Gaulle n'a pas montré de telles fluctuations, mais le marché de prévisions sur Polymarket pour « la température maximum quotidienne à Paris » s'est réglé comme d'habitude. Deux attaques ont eu lieu, et un total de 34 000 dollars a été transféré vers un compte anonyme qui venait juste d'être ouvert deux jours avant l'incident.

Ce n'est pas une attaque de crypto monnaie typique. Elle n'a exploité aucune vulnérabilité de contrat intelligent, ni ciblé aucun processus de gouvernance décentralisé. Tous les outils de l'attaque, c'était juste un sèche-cheveux.

Une température qui a bondi de 4°C en 12 minutes, comment un capteur a-t-il pu tromper le marché de prévisions global ?

Entre 18h30 et 18h42 le 6 avril, la température à la station météorologique de l'aéroport Charles de Gaulle a grimpé de 4°C en 12 minutes, atteignant un maximum de 22,5°C, puis a rapidement chuté en 5 minutes. La température réelle à Paris ce jour-là n'a pas montré de telles fluctuations dramatiques, et les autres stations météorologiques à proximité n'ont enregistré aucune anomalie similaire.

Cette station météorologique (code : LFPG) est située au bord de la piste de l'aéroport Charles de Gaulle, près d'une zone publique à côté de la route. La relative accessibilité de son emplacement physique a permis au suspect d'approcher le capteur et d'effectuer une intervention physique.

Ce bref moment de « haute température » a coïncidé avec l'option « 21°C » sur Polymarket, un résultat qui n'avait presque attiré aucune attention auparavant, et après que les données anormales ont été acceptées par la plateforme comme la température maximale du jour, il a été réglé comme Oui. Un compte a empoché environ 14 000 dollars.

Neuf jours plus tard, autour de 21h30 le 15 avril, un scénario presque identique s'est répété : une nuit nuageuse et sans vent, la température à l'aéroport Charles de Gaulle a bizarrement grimpé à 22°C. La probabilité de l'option « 22°C » sur Polymarket a grimpé de 0,1 % à 95 % en seulement 30 minutes. Le deuxième jackpot a dépassé 20 000 dollars et a encore été transféré sur le même compte.

Paul Marquis, fondateur du service E-Meteo en France et météorologue, a donné un jugement presque irréfutable sur le plan technique : « Il n'y a eu aucun changement dans la direction du vent ni dans l'humidité relative, et les autres stations météorologiques environnantes n'ont enregistré aucune anomalie. L'intervention physique est l'explication la plus raisonnable, comme placer un appareil de chauffage près de la sonde du capteur. »

Météo-France a ensuite effectué une inspection physique du capteur et a découvert des traces de manipulation, et a officiellement porté plainte contre la gendarmerie des transports aériens de Roissy. L'accusation est « destruction du fonctionnement des systèmes de traitement automatisé des données ». Selon la loi française, cette accusation peut être punie d'une peine maximale de 7 ans d'emprisonnement et d'une amende de 300 000 euros.

Le profil du compte impliqué ne résiste pas non plus à l'analyse. Il a été créé seulement le 4 avril 2026, à peine 48 heures avant le premier acte. Le capital initial était de quelques dizaines de dollars, transféré via une bourse de crypto-monnaie. Il a presque uniquement participé à des marchés de type « météo à Paris » et a spécifiquement acheté des options de « haute température » à très faible probabilité. Après deux réussites, les fonds ont rapidement été transférés via des mélangeurs et des échanges décentralisés, rendant le suivi sur la blockchain beaucoup plus difficile.

D'un côté, un sèche-cheveux commun coûtant moins de 30 euros, de l'autre, un marché mondial de prévisions climatiques dont le volume des transactions quotidiennes a dépassé 2 millions de dollars, l'écart entre le coût de l'attaque et le bénéfice de l'attaque est extrême.

Les données anormales ont d'abord été découvertes par des passionnés de météo locaux sur le forum Infoclimat. L'incident a ensuite été propagé par la communauté crypto au monde anglophone, avec des suivis d'articles par Le Monde, Le Figaro et BFMTV. Polymarket n'a fait aucune déclaration publique à ce sujet et n'a pas annulé les 34 000 dollars déjà payés.

Une faille dans les règles, pourquoi un seul relevé de capteur devrait-il décider d'un jackpot à six chiffres ?

Le véritable protagoniste de cet incident n'est pas tant le sèche-cheveux, mais plutôt la série de règles de règlement du marché météo de Polymarket.

Le marché météo de Polymarket a connu une croissance fulgurante ces dernières années, avec actuellement 173 marchés actifs couvrant la température, les précipitations, les ouragans, les tornades, les tremblements de terre, les volcans et même les pandémies. Parmi eux, le marché du « maximum quotidien de température à Paris » utilise un mécanisme de règlement très simple, avec des données verrouillées à des relevés d'une station météorologique spécifique hébergée sur le site Wunderground.

Avant cet incident, ce site était la station météorologique de l'aéroport Charles de Gaulle (code LFPG), avec des températures précises à l'entier Celsius. Le plus critique est que le marché se règle immédiatement après la finalisation des données, et « sans tenir compte de toute révision ultérieure des données ».

Cela signifie que même si Météo-France découvrait des anomalies dans les données et corrigeait les enregistrements historiques, Polymarket continuerait de payer les gains sur la base des lectures originales contaminées. Les règles sont claires et leur exécution ne laisse place à aucun doute.

Le défaut se présente clairement sous trois points :

Le premier point est une défaillance unique. Le règlement de l'ensemble du pool de prix à six chiffres dépend entièrement des relevés d'un seul capteur. Polymarket n'a pas conçu de mécanisme de pondération multi-station, de vérification redondante ou de coupure des valeurs aberrantes, la soi-disant « source de données » est ce capteur métallique au bord de la piste de l'aéroport Charles de Gaulle.

Le deuxième point est l'accessibilité physique. La station météorologique de l'aéroport Charles de Gaulle est située près du bord de la piste, à proximité d'une zone publique le long d'une route, n'importe quel citoyen ordinaire peut s'approcher du capteur à quelques mètres. Ce détail géographique a transformé le seuil d'« intervention physique » de la possibilité théorique à une opération réaliste quasi sans coût.

Le troisième point est la rigidité du mécanisme de règlement. Les révisions postérieures sont invalides, ce qui signifie qu'une fois l'attaque terminée, il n'existe aucune possibilité d'« annulation ». Les règles garantissent d'une part la certitude du règlement, mais d'autre part, elles assurent que la manipulation, une fois réussie, ne peut être inversée.

Victor, analyste chez Fibo Crypto, a donné à cette méthode un nom techniquement esthétique, « attaque de prophète physique ». Contrairement aux attaques de « prophète numérique » passées qui manipulaient les résultats des oracles en votant massivement avec des jetons pour influencer le vote de gouvernance UMA, l'attaque de prophète physique contourne toute la logique de la chaîne et agit directement sur le premier kilomètre du pipeline de données - ce capteur métallique dans le monde réel.

Le 17 avril, deux jours après l'exposition de l'incident, Polymarket a discrètement effectué un changement de règles, en basculant la source de données de règlement du marché météo de Paris de l'aéroport Charles de Gaulle (LFPG) à l'aéroport de Paris-Le Bourget (LFPB). Ce changement n'a été accompagné d'aucune annonce officielle, d'aucune explication technique publique, et n'a pas donné lieu à une réponse concernant les deux manipulations qui avaient eu lieu.

Changer une sonde est beaucoup plus simple que de reconnaître publiquement une faille. Le marché météo de Polymarket a été initialement conçu comme un miroir, reflétant le jugement collectif du marché sur l'avenir. Mais lorsque l'image dans le miroir devient suffisamment précieuse, avec des cotes suffisamment raides et une sonde suffisamment accessible, il y aura toujours quelqu'un avec un sèche-cheveux à 30 euros qui viendra souffler le résultat qu'il désire.