Une simple visite sur la plateforme de paris prédictifs aurait suffi à exposer l’argent de certains utilisateurs. Polymarket annonce avoir résolu l’incident et promet de rembourser les victimes.
Les utilisateurs de Polymarket n’avaient apparemment pas besoin de cliquer sur un lien douteux pour se faire voler leur argent. Le danger venait d’un script chargé par le site lui-même. Selon l’analyse des chercheurs de Hudson Rock, ce code malveillant cherchait à exploiter une session déjà ouverte pour vendre les positions de l’utilisateur ou transférer ses actifs vers un portefeuille contrôlé par les pirates. Des victimes rapportent des opérations effectuées sans leur accord, mais les conditions exactes dans lesquelles les transactions ont pu être validées restent à préciser.
Un prestataire compromis, la plateforme mise en pause
Pour interrompre les opérations pendant son enquête, Polymarket a basculé sa plateforme internationale en mode « annulation uniquement ». Les utilisateurs pouvaient encore supprimer leurs ordres alors que les opérations des relayers étaient suspendues (services techniques qui transmettent certaines transactions des utilisateurs à la blockchain, cf. FAQ en fin d'article). Une trentaine de minutes plus tard, l’entreprise annonçait avoir corrigé le problème et attribuait l’incident à la compromission d’un prestataire tiers. Les échanges ont repris environ une heure après leur suspension.
D'après CNBC, il s’agirait de DebugBear, une société britannique spécialisée dans la mesure des performances des sites web. Au moment des faits, celle-ci a reconnu un incident de sécurité sur X et demandé aux clients de son outil RUM de retirer le code intégré à leurs pages. Elle n’a pas apporté davantage de précisions. Polymarket indique pour sa part avoir alerté les autorités britanniques.
Une indemnisation promise, mais sous conditions pour les plus grosses pertes
La plateforme n’a pas explicitement confirmé le montant des pertes, mais s’est engagée à indemniser intégralement les personnes lésées. Selon la société d’analyse Bubblemaps, plus de 700 utilisateurs auraient été touchés, pour un total de 2,7 millions de dollars dérobés.
Les modalités de remboursement ont été précisées sur Discord. Pour les victimes ayant perdu moins de 10 000 dollars, Polymarket annonçait un versement au plus tard le 30 octobre. Au-delà de ce seuil, les utilisateurs devront d’abord signer une décharge juridique. La promesse d’un remboursement intégral s’accompagne donc d’une formalité supplémentaire pour ceux qui ont subi les pertes les plus lourdes.
Cet incident ajoute aux difficultés d’une plateforme déjà mise en cause dans l’État de New York pour son activité de jeux d’argent. En France, son site est bloqué par les principaux fournisseurs d’accès à la demande de l’Autorité nationale des jeux, qui considère son offre comme illégale.
Sources : Polymarket, Hudson Rock et CNBC
Une attaque supply chain côté Web survient quand un service externe intégré à une page (analytics, performance, chat, etc.) est compromis et sert du code malveillant à la place du code légitime. Comme ce script s’exécute dans le navigateur avec les mêmes droits que le site, il peut lire des données de session, interagir avec la page et déclencher des actions à la place de l’utilisateur. Ce n’est pas une faille locale sur l’ordinateur : l’attaque se produit dans la chaîne de dépendances du site. Dans le cas d’un service financier ou crypto, cela peut suffire à initier des ordres, modifier des adresses de destination ou pousser l’utilisateur à valider une transaction sans s’en rendre compte. La gravité dépend ensuite de ce qui protège l’action (revalidation, confirmation wallet, 2FA, etc.).
Le mode « annulation uniquement » consiste à bloquer la création et l’exécution de nouveaux ordres tout en laissant la possibilité d’annuler ceux qui existent déjà. C’est une mesure de confinement : elle limite la surface d’attaque et évite d’amplifier des opérations potentiellement frauduleuses pendant l’enquête. Techniquement, cela revient à désactiver les fonctions d’exécution/matching et à n’autoriser que les actions de retrait/cancellation. Ce mode est fréquent sur les plateformes d’échange ou de trading quand l’intégrité des transactions ou des sessions n’est plus garantie. Il permet aussi de stabiliser l’état du système avant de remettre les services en ligne.
Un relayer est un service qui transmet des transactions ou des messages signés par l’utilisateur vers la blockchain, souvent pour simplifier l’usage (moins de frais directs, exécution plus rapide, abstraction technique). Dans certains systèmes, l’utilisateur signe une intention (ordre, autorisation) et le relayer se charge de la publier on-chain au bon moment. Suspendre les relayers, c’est interrompre ce canal de diffusion : les ordres ne partent plus vers la blockchain via cette infrastructure, ce qui peut stopper une partie des opérations. Cela ne gèle pas la blockchain elle-même, mais coupe un maillon opérationnel utilisé par la plateforme. En situation de crise, c’est une façon de limiter l’exécution de transactions tant que l’origine des requêtes n’est pas jugée fiable.
