Polymarket indique qu’une compromission d’un fournisseur tiers découverte le jeudi a permis aux attaquants d’injecter du code malveillant dans son interface de site web, conduisant à une campagne de hameçonnage visant plusieurs utilisateurs. Selon l’analyste blockchain Specter, le script injecté a été utilisé pour drainer environ 2,94 millions de dollars depuis au moins 11 portefeuilles Polymarket.
Polymarket a déclaré que l’incident a été maîtrisé et que la dépendance compromise a été supprimée. La plateforme a aussi indiqué que les utilisateurs touchés recevront des remboursements complets. Cointelegraph a contacté Polymarket pour obtenir un commentaire, mais n’a pas reçu de réponse avant publication.
À retenir
Polymarket a fait état d’une compromission d’un fournisseur tiers ayant permis aux attaquants d’injecter un script malveillant dans son front-end.
L’analyste Specter a relié le code malveillant à des activités de hameçonnage, estimant des pertes d’environ 2,94 millions de dollars sur au moins 11 portefeuilles utilisateurs.
Polymarket a indiqué que le problème a été maîtrisé, qu’une dépendance a été supprimée et que les utilisateurs seront intégralement remboursés.
Les données de reporting de sécurité de la blockchain indiquent que l’incident s’inscrit dans un volume élevé de brèches crypto au cours du trimestre.
Par ailleurs, les données de DefiLlama montrent que la compromission de clé privée demeure la cause dominante des pertes d’exploits signalées sur les 30 derniers jours.
Compromission du front-end et pertes de portefeuilles liées au hameçonnage
L’incident de Polymarket relève d’un défaut de type chaîne d’approvisionnement plutôt que d’un exploit direct de smart contract. Specter a indiqué que le script malveillant semblait permettre une attaque par hameçonnage qui redirigeait ou poussait les utilisateurs à compromettre des identifiants ou des autorisations, aboutissant à un mouvement non autorisé d’actifs depuis les portefeuilles des utilisateurs.
En pratique, ce type de compromission du front-end peut être particulièrement dommageable pour les institutions et les équipes de conformité, car il déplace le profil de risque, au-delà des seuls mécanismes on-chain. Même lorsque les contrats ne changent pas, du code malveillant côté couche web peut manipuler le comportement des utilisateurs, compromettre des hypothèses de sécurité liées aux sessions, ou tromper les utilisateurs pour qu’ils signent des transactions nuisibles. Pour les entités réglementées qui s’intègrent à des services crypto ou qui acheminent l’accès des utilisateurs à ces services, des incidents comme celui-ci montrent la nécessité de renforcer la gouvernance des fournisseurs et d’appliquer des contrôles d’intégrité continus aux dépendances servies par des tiers.
La réponse de Polymarket suggère que le composant concerné a été identifié et retiré après la découverte. Son engagement à rembourser intégralement les utilisateurs soulève aussi des considérations opérationnelles et en matière de politique : même si les remboursements peuvent atténuer les préjudices subis par les utilisateurs, ils ne traitent pas automatiquement la question de savoir si les contrôles sous-jacents — comme les processus de mise à jour de logiciels tiers, la surveillance des dépendances et les playbooks de réponse aux incidents — étaient suffisants pour empêcher la répétition de l’événement.
Le reporting de brèche de DefiLlama met en évidence un schéma de méthodes d’exploit récurrentes
L’affaire Polymarket survient alors que la déclaration des incidents de sécurité crypto reste élevée. Les données de DefiLlama situent l’événement dans un calendrier plus large : les statistiques du deuxième trimestre au 2e trimestre (second quarter-to-date) indiquent que ce trimestre a connu sa période la plus piratée en nombre d’incidents, selon le renvoi de Cointelegraph à DefiLlama et à sa couverture du T2.
DefiLlama indique également qu’en juin, des pertes liées à des exploits de crypto ont été signalées pour 74,9 millions de dollars sur 29 incidents, dépassant le total de mai (60,5 millions de dollars), mais restant bien inférieur au pic d’avril (644 millions de dollars).
Parmi les plus importants incidents de juin figuraient un exploit du protocole Humanity à 36 millions de dollars, un exploit du bridge Secret Network de 4,7 millions de dollars, deux exploits Aztec distincts évalués à 2,1 millions de dollars chacun, et un exploit de bridge de 1,7 million de dollars lié à Taiko. Bien que chaque exploit implique des voies techniques différentes, ils renforcent collectivement une réalité clé en matière de conformité : la fréquence et l’ampleur des incidents continuent de mettre sous pression la gestion du risque opérationnel dans les bourses, les portefeuilles et les prestataires, avec une exposition au niveau des protocoles.
La ventilation des pertes des 30 derniers jours par DefiLlama montre que la compromission de clé privée est le vecteur menant le plus courant, représentant 43 % des pertes d’exploits signalées. Les exploits de fausse preuve comptent pour 10 %, et les honeypots reverse MEV pour 8 %. Pour les équipes de risque, ces catégories sont importantes car elles indiquent si les contrôles devraient prioriser la gestion des clés, l’intégrité des signatures/autorisations ou des garde-fous de routage des transactions pour les systèmes automatisés et les intégrateurs.
L’historique des clés privées chez Polymarket met en évidence plusieurs surfaces d’attaque
Environ un mois avant l’incident du front-end de Polymarket signalé, le marché à terme de prédictions a divulgué un exploit supplémentaire, attribué à une clé privée vieille de six ans utilisée pour des opérations internes de réapprovisionnement. Cointelegraph avait précédemment rapporté que Polymarket avait déclaré que les contrats et les fonds des utilisateurs restaient en sécurité dans ce cas antérieur et que toutes les autorisations associées à la clé compromise avaient été révoquées.
Ensemble, ces deux événements soulignent que Polymarket — ou tout service crypto ayant des points de contact on-chain et off-chain — peut faire face à plusieurs surfaces d’attaque distinctes : la gestion des clés côté backend pour les processus opérationnels, et les dépendances distribuées via le web pour les interactions destinées aux utilisateurs. Pour les acteurs institutionnels, l’association peut compliquer l’assurance : même lorsqu’une zone de contrôle est remédiée (par exemple, des permissions révoquées après un problème de clé), un autre plan de contrôle — comme l’intégrité des dépendances tierces — peut encore introduire de nouveaux risques.
L’ampleur de Polymarket implique aussi des enjeux plus élevés pour la gouvernance des incidents. DefiLlama indique que la plateforme détient plus de 450 millions de dollars de valeur totale bloquée, contre 112 millions de dollars un an auparavant.
Implications réglementaires et de conformité pour les sociétés crypto et les intégrateurs
Bien que Polymarket opère dans un marché dont la réglementation évolue, les incidents de ce type alimentent directement les attentes de conformité des entreprises crypto. Dans le cadre de règles telles que le règlement MiCA (Markets in Crypto-Assets) de l’Union européenne, on s’attend à ce que les entreprises satisfassent à des obligations de gouvernance et de résilience opérationnelle. Parallèlement, les exigences AML/CFT prévues par les régimes applicables s’étendent généralement à des processus de « connaissance du client » et à la protection des fonds des utilisateurs. La compromission de la chaîne d’approvisionnement et le vol motivé par le hameçonnage soulèvent aussi des questions, pour les contreparties réglementées, sur la façon dont les affirmations de protection des actifs clients sont étayées dans la pratique.
Pour les bourses, les fournisseurs de portefeuilles, les prestataires de paiement et les fournisseurs de services institutionnels, les incidents liés aux fournisseurs peuvent déclencher des examens internes supplémentaires dans le cadre de politiques de gestion du risque tiers. Les domaines courants incluent : la gestion du cycle de vie des dépendances, la capacité d’audit des pipelines de build et de déploiement du front-end, les procédures de détection et de confinement des incidents, ainsi que l’adéquation des politiques de remboursement ou de restitution. Même si le vol provient de l’extérieur du code on-chain, les préjudices subis par les utilisateurs peuvent quand même entraîner un examen réglementaire concernant la protection des consommateurs, les divulgations et l’adéquation des contrôles de risque opérationnel.
Les différences transfrontalières dans les priorités d’application peuvent encore compliquer la réponse. Aux États-Unis, où les actions de contrôle liées aux cryptos ont fréquemment porté sur la sécurité, la protection des consommateurs et des manquements allégués aux contrôles de conformité, et où des agences fédérales coordonnent via des procédures judiciaires et des subpoenas, un incident de hameçonnage piloté par le front-end peut toutefois être présenté comme un échec à maintenir des garde-fous raisonnables. Par ailleurs, les obligations AML/KYC n’empêchent pas le hameçonnage, mais elles peuvent influencer la façon dont les fonds volés sont identifiés, dont les utilisateurs concernés sont pris en charge, et comment les activités suspectes sont triées.
Pour la surveillance de la conformité institutionnelle, l’élément le plus actionnable est le schéma d’incident lui-même : la compromission de tiers conduisant à la tromperie des utilisateurs, aux côtés de vecteurs d’exploit persistants tels que la compromission de clés. Ces thèmes indiquent que la gouvernance devrait couvrir à la fois les contrôles techniques (gestion des clés, permissions, intégrité des transactions) et les contrôles administratifs (supervision des fournisseurs, assurance de la chaîne d’approvisionnement logicielle, et mesures de réponse documentées).
Point de clôture
Polymarket indique que la dépendance compromise a été supprimée et que les utilisateurs touchés seront remboursés. La prochaine phase impliquera probablement une validation détaillée post-incident de la chaîne d’approvisionnement compromise, la vérification de l’exposition résiduelle sur sa chaîne de diffusion du front-end, ainsi que la poursuite de l’alignement des contrôles techniques avec les attentes de conformité appliquées par les institutions à la protection des clients et à la résilience opérationnelle. Le reporting des incidents de sécurité restera un point de référence clé pour évaluer si ce cas reflète un schéma de risque systémique plus large ou un échec isolé du fournisseur.
Cet article a été publié à l’origine sous le titre Polymarket Hit by Third-Party Breach Drains $2.9M, Raises Compliance Risks on Crypto Breaking News – votre source de confiance pour les actualités crypto, les actualités Bitcoin et les mises à jour blockchain.