• La page d’état a signalé l’incident à 18 h 05 UTC comme une panne majeure de l’API de négociation des marchés prédictifs.

• Un trader nommé Car a fait état d’une perte de 800 000 $ et indiqué que toutes ses positions avaient été vendues.

• Selon des estimations non vérifiées, un portefeuille présumé destinataire a atteint un pic de 2,68 millions de dollars à 18 h 05 UTC.

Trading suspendu sur la plateforme internationale

Polymarket a suspendu jeudi toutes les opérations sur sa plateforme internationale après la compromission d’un prestataire tiers et des signalements d’utilisateurs indiquant que leurs comptes avaient été vidés. Selon la page d’état de l’entreprise, le problème affectant Polymarket.com a été identifié et résolu, le prestataire compromis a été signalé aux autorités compétentes et les utilisateurs touchés seront « intégralement dédommagés ». La plateforme n’a pas précisé combien de comptes avaient été touchés ni le montant total dérobé. La suspension concerne le service international basé sur des portefeuilles, où les utilisateurs négocient sur des marchés prédictifs depuis des comptes dont ils conservent eux-mêmes la garde. La plateforme américaine, réglementée séparément et exploitée sous licence de la Commodity Futures Trading Commission (CFTC), n’est pas citée parmi les plateformes touchées. Peu après la mise à jour de la page d’état, un compte géré par la communauté a publié sur X une déclaration presque identique, reprenant les termes officiels. À la date de publication, aucun calendrier de reprise complète des opérations n’avait été communiqué.

Mise à jour (29 oct. 19:11 UTC) : La même adresse, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, est codée en dur dans le script comme destinataire de secours, et les données on-chain montrent que le portefeuille du suspect détient environ 2,65 millions de dollars en POL après plusieurs échanges d’USDC.e contre du POL via Relay.

Mode annulations uniquement à 18:05 UTC

La page d’état a signalé l’incident pour la première fois jeudi à 18:05 UTC, le qualifiant de panne majeure de l’API de trading de prédictions, le carnet d’ordres qui apparie les transactions sur les marchés prédictifs. À ce stade, la plateforme était en mode annulations uniquement : les utilisateurs pouvaient annuler les ordres existants, mais aucun nouvel ordre ni aucune transaction n’était traité, et les actions du relayer, le service qui soumet des transactions on-chain au nom des utilisateurs, restaient suspendues. L’accès aux comptes, les flux websocket, les données de position et le règlement sur Polygon ont continué de fonctionner pendant toute la durée de l’incident. Environ 32 minutes plus tard, à 18:37 UTC, la page est passée de « en cours d’enquête » à « identifié » et a attribué le problème à la compromission du fournisseur tiers. Les seuls ordres autorisés étaient les annulations d’ordres ouverts, tandis que le moteur d’appariement restait à l’arrêt, empêchant les traders ayant des positions ouvertes de les clôturer.

Pertes des utilisateurs et réclamation de 2,68 millions de dollars

Des signalements de retraits frauduleux ont commencé à circuler sur X avant que l’entreprise ne confirme quoi que ce soit. Un trader utilisant le nom Car a déclaré dans une publication sur X que 800 000 dollars avaient été prélevés sur son compte et qu’un ami avait perdu 600 000 dollars, ajoutant que toutes ses positions avaient été vendues. Un autre compte, StarPlatinum, a retracé un portefeuille destinataire suspect qui a commencé à recevoir des fonds à 17:05 UTC, détenait 412 000 dollars à 17:25, avait atteint 2,02 millions de dollars à 17:50 et culminé à 2,68 millions de dollars à 18:05. Il a estimé que le destinataire avait accumulé 28,6 millions de POL convertis à partir des soldes de dépôt des utilisateurs. Ce compte a également identifié un proxy Deposit Wallet Factory et allégué que l’infrastructure de transactions sponsorisées de Relay était impliquée. Aucun de ces chiffres n’est confirmé : les déclarations de l’entreprise ne mentionnent ni nombre de victimes, ni montant total des pertes, ni adresse de l’attaquant, et aucun identifiant de transaction n’a été publié.

L’attaque de juin contre l’interface et un précédent de remboursement

Cet épisode rappelle un incident survenu en juin, lorsqu’un fournisseur tiers compromis a introduit un script malveillant dans l’interface de Polymarket pour certains utilisateurs. Les premières analyses on-chain ont évalué les pertes à 2,94 millions de dollars, répartis sur au moins 11 portefeuilles, une estimation ultérieure les portant à 3,1 millions de dollars. Les fonds ont été dérobés en pUSD sur Polygon, convertis via Relay, transférés vers Ethereum puis échangés contre de l’ETH. L’entreprise avait alors déclaré avoir supprimé la dépendance compromise et rembourser intégralement les clients concernés. Une plateforme concurrente avait subi une brèche similaire quelques jours plus tôt : Predict.fun a confirmé dans un communiqué publié le 27 octobre des transferts non autorisés d’environ 400 000 USDT, évoquant une possible compromission d’un site de documentation API hébergé par un tiers et promettant un remboursement intégral ainsi qu’un rapport détaillé après l’incident. Un incident survenu en décembre, impliquant un service de connexion en un clic, avait également mis en évidence cette même vulnérabilité : les dépendances tierces.

Les chercheurs en sécurité de Hudson Rock ont identifié un mécanisme probable de diffusion : un script chargé depuis DebugBear, un service de surveillance des performances Web, contenait du code qui recherche la session de trading d’un utilisateur connecté et tente de vendre ses positions et de transférer ses actifs. La même adresse, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, est codée en dur dans le script comme destinataire de secours, et les données on-chain montrent que le portefeuille du suspect détient environ 2,65 millions de dollars en POL après plusieurs échanges d’USDC.e contre du POL via Relay. Hudson Rock a indiqué que le code du site de production de Polymarket consigne la suppression du script, mais l’entreprise n’a pas établi comment la compromission a commencé ni combien d’utilisateurs ont été touchés. Polymarket n’a pas encore indiqué la cause de l’incident.

Un schéma récurrent impliquant des tiers

Trois incidents en une dizaine de mois, tous passés par des dépendances de fournisseurs plutôt que par les contrats on-chain, révèlent une faiblesse structurelle de l’écosystème des marchés prédictifs. Polymarket fonctionne sur Polygon, un réseau de couche 2, et a depuis longtemps abandonné son modèle initial de teneur de marché automatisé au profit d’un carnet d’ordres centralisé. Pourtant, la surface d’attaque se trouve dans les interfaces hébergées, les relayers et l’infrastructure des portefeuilles de dépôt, autant d’éléments qu’aucun audit de contrat ne couvre. Dans chaque cas, les fonds ont été transférés dès que les utilisateurs ont signé des requêtes malveillantes, rendant les pertes irréversibles au moment de la confirmation. L’approche de l’entreprise, qui consiste à corriger le problème et à indemniser les victimes, est cohérente, mais elle n’a de nouveau publié aucun identifiant de transaction, aucun montant confirmé des pertes ni aucune cause technique fondamentale, au-delà de la mention d’un tiers. En attendant ces précisions, transférer les soldes inutilisés vers un portefeuille hors ligne et se renseigner sur le fonctionnement des portefeuilles matériels restent les mesures de protection les plus pratiques pour les utilisateurs actifs.