Fin juillet, des pirates n’ont eu besoin que d’un numéro de sécurité sociale volé pour accéder au compte Polymarket d’un tiers, cartes de débit et comptes bancaires rattachés compris. Ni identifiant ni mot de passe n’étaient requis. L'attaque a fait près de 500 victimes parmi les utilisateurs.
Polymarket a ouvert la version américaine de sa plateforme de paris à ses premiers utilisateurs en décembre dernier, après avoir racheté pour 112 millions de dollars une bourse agréée. D’après une personne proche du dossier, ces utilisateurs ont déposé plus d’un demi-milliard de dollars sur l’application. Le Wall Street Journal a recueilli les témoignages d’employés actuels et anciens ainsi que de victimes. Le journal rapporte deux attaques, la première en février avec des cartes de débit volées, la seconde en juillet avec des identités usurpées.
Une seule inscription pour accéder au compte d’un autre
D’après une personne au fait du dossier, citée par le Wall Street Journal, un pirate tentait de créer un nouveau compte avec les informations personnelles d’un trader inscrit, telles qu’un numéro de sécurité sociale volé. Il obtenait aussitôt l’accès au compte existant de cette victime, sans identifiant ni mot de passe. Les cartes de débit et les comptes bancaires liés à ce profil étaient eux aussi à sa portée.
Cette source a précisé que le montant dérobé était faible, et une porte-parole de Polymarket a indiqué que l’entreprise rembourserait les fonds perdus.
Selon Gizmodo, l’entreprise n’a publié aucune analyse publique de cette faille d’inscription.
Des dépôts frauduleux à plus de 80 % en février
En février, le prestataire de paiement Checkout.com a alerté Polymarket US sur un afflux de fraudeurs. Ces derniers ont lié des cartes de débit volées à des milliers de nouveaux comptes, dans l’intention de parier puis de retirer l’argent vers des cartes ou des comptes qu’ils contrôlaient. Ils ont tenté de voler au moins 10 millions de dollars. À un moment, Checkout.com a rejeté plus de 80 % des dépôts qu’il traitait, alors que la norme du secteur est d’environ 1 %. La plupart des tentatives de dépôt ont échoué, et sept utilisateurs sont à l’origine de l’essentiel de l’attaque, dont l’un a tenté environ 4 000 dépôts, selon une personne au fait du dossier.
Les employés ont alerté le P.-D.G, Shayne Coplan. Des personnes proches des événements rapportent qu’il a dit à l’équipe de conformité de continuer à croître et de payer une amende si des régulateurs découvraient un jour l’affaire. L’équipe de conformité était sidérée, ont rappelé ces personnes.
Débordées, ces équipes ont accumulé du retard sur les retraits des clients. Pour rendre l’argent plus vite, la direction a supprimé l’obligation de retirer les fonds vers le moyen de paiement utilisé pour les déposer. Des employés ont averti que la plateforme risquait ainsi de faciliter le blanchiment d’argent. Les dirigeants ont maintenu que les autres protections suffisaient. Sans cette obligation, un voleur peut déposer de l’argent avec des cartes volées, puis retirer ses gains vers une carte légitime.
La réglementation fédérale n’impose pas cette obligation aux marchés de prédiction. DraftKings et FanDuel l’appliquent. Kalshi, rival de Polymarket, ne l’applique pas, mais inspecte les retraits vers d’autres moyens de paiement et gèle les paiements suspects, a précisé une personne au fait de ses procédures. En avril, Andrew Clifford, directeur de la conformité de Polymarket US, a démissionné après avoir remis aux dirigeants un long rapport sur une partie des problèmes de fraude.
Des correctifs et une enquête fédérale
Toujours selon une source proche du dossier en mai, Polymarket a ramené la fraude à la norme du secteur. L’entreprise a limité le nombre de cartes de débit rattachables à un compte et fait appel à Riskified pour lutter contre la fraude. D’anciens employés ont expliqué qu’elle déployait souvent des mises à jour sans test préalable. Elle a récemment renforcé sa relecture du code et recruté des ingénieurs supplémentaires.
Le cabinet Sullivan & Cromwell a conclu que Polymarket avait respecté la réglementation, selon des personnes au fait de son enquête. Un porte-parole de l’entreprise a répondu que Polymarket dispose de processus pour détecter et traiter les activités suspectes. Dans le secteur réglementé, des adultes gèrent les fonds des clients et vérifient leur origine, a expliqué Joe Konizeski, ancien avocat chargé des poursuites à la Commodity Futures Trading Commission (CFTC).
D’après le journal, la CFTC enquête sur Polymarket. Les employés ont reçu la consigne de conserver leurs documents sur l’attaque de février et sur d’autres sujets.
Des victimes sans réponse pendant des semaines
Les utilisateurs interrogés par le journal font état de pertes de plusieurs milliers de dollars. Ils ont écrit pendant des semaines au support de Polymarket sans recevoir de réponse. En juillet, un employé de l’entreprise a écrit sur Discord que l’équipe d’ingénierie travaillait à des correctifs. Polymarket a remboursé une partie des clients touchés, tandis que d’autres ont fait annuler les débits par leur banque, a indiqué une personne au fait du dossier.
Dane Collins a 26 ans. Il a commencé à utiliser Polymarket US en mai pour parier sur la Coupe du monde. En juillet, il a constaté que quelqu’un avait vendu ses positions et retiré 5 783,51 dollars de gains vers une carte de débit qu’il ne possédait pas. Sans explication, Polymarket a crédité son compte de 25 dollars. Auprès de la police locale et du FBI, il a déposé plainte, avant de signaler les faits à la CFTC. « Polymarket US a été silencieux pendant des semaines et des semaines », a-t-il déclaré. Le support a ensuite mis son compte en attente après deux envois de ses informations de vérification, sans évoquer les fonds manquants.
