Polymarket est de nouveau victime d’une cyberattaque ce jeudi 29 octobre 2026. La célèbre plateforme de marchés prédictifs a temporairement suspendu les transactions après la compromission d’un prestataire externe. Plusieurs utilisateurs signalent des cryptomonnaies dérobées, tandis que des analyses font état de plus de 2,5 millions de dollars de mouvements suspects.
La plateforme a officiellement reconnu l’incident, annoncé avoir corrigé le problème et promis de rembourser intégralement les utilisateurs touchés. Les échanges ont depuis été rétablis.
Fondée en 2020 à New York, Polymarket permet aux utilisateurs de miser sur l’issue d’événements politiques, économiques, sportifs ou géopolitiques, principalement à l’aide de cryptomonnaies. La plateforme s’est imposée comme l’un des acteurs majeurs des marchés prédictifs, notamment depuis l’élection présidentielle américaine de 2024.
Plus de 2,5 millions de dollars de transactions suspectes
Les premières alertes sont apparues le 29 octobre, lorsque plusieurs utilisateurs ont signalé des mouvements non autorisés sur leurs comptes.
Un trader connu sous le pseudonyme Car affirme avoir perdu environ 800 000 dollars, après la liquidation de ses positions. D’autres utilisateurs évoquent des retraits inexpliqués alors qu’ils n’avaient pas volontairement autorisé ces opérations.
Un portefeuille soupçonné d’appartenir à l’attaquant aurait reçu plus de 2,5 millions de dollars provenant de comptes utilisateurs, au travers de plus de 900 transactions.
Ces montants proviennent d’observations de transactions et de témoignages. Polymarket n’a pas encore communiqué de bilan officiel précisant le nombre de victimes ni la valeur totale des fonds dérobés.
Un prestataire de surveillance informatique compromis
L’origine de l’incident se situerait chez DebugBear, une entreprise spécialisée dans la surveillance des performances des sites Internet, identifiée par Reuters et le Wall Street Journal.
Polymarket utilisait un script JavaScript fourni par ce prestataire afin de mesurer le fonctionnement et les performances de sa plateforme. Or, ce programme aurait été modifié pour exécuter des opérations malveillantes dans le navigateur des utilisateurs.
Dans une analyse technique publiée le 29 octobre, les chercheurs de Hudson Rock indiquent avoir récupéré un script hébergé sur l’infrastructure de DebugBear contenant du code destiné à :
- Identifier les sessions et les comptes de trading connectés ;
- Accéder aux informations relatives aux positions détenues ;
- Déclencher des opérations de vente ou de transfert d’actifs ;
- Rediriger des fonds vers un portefeuille contrôlé par l’attaquant.
Les chercheurs ont également identifié, dans une version de production de Polymarket, une modification correspondant à la suppression de l’intégration DebugBear.
Cette attaque est particulièrement dangereuse parce que le code malveillant pouvait être chargé depuis le véritable site Polymarket. L’utilisateur n’avait donc pas nécessairement besoin de visiter une page frauduleuse pour être exposé.
DebugBear a reconnu faire face à un incident de sécurité et conseillé aux clients de son service de surveillance des utilisateurs de retirer temporairement le script intégré à leurs sites Internet.
Polymarket suspend temporairement les échanges
Face aux signalements, Polymarket a placé sa plateforme internationale en mode « cancel-only », permettant aux utilisateurs d’annuler leurs ordres existants, mais empêchant de nouvelles transactions.
La plateforme a également suspendu certaines opérations techniques liées à l’exécution des transactions pendant ses investigations.
Dans sa communication publique, Polymarket explique avoir identifié et corrigé le problème chez son prestataire. L’entreprise affirme également avoir signalé l’incident aux autorités compétentes au Royaume-Uni.
Les utilisateurs affectés seront intégralement indemnisés, selon l’engagement annoncé par la plateforme. Les échanges ont ensuite repris, d’après Reuters.
Déjà plusieurs cyberattaques en moins d’un an
Cette nouvelle compromission intervient après plusieurs incidents de sécurité ayant déjà affecté Polymarket. Il ne s’agit donc pas de sa deuxième cyberattaque documentée.
En décembre 2025, plusieurs utilisateurs avaient signalé la compromission de leurs comptes et la disparition de fonds. Polymarket avait alors confirmé une vulnérabilité provenant d’un prestataire externe chargé de l’authentification.
Le 22 mai 2026, un autre incident avait concerné un portefeuille interne utilisé pour des opérations techniques sur la blockchain Polygon. Des analystes avaient estimé les sorties suspectes à plus de 500 000 dollars. Polymarket avait alors indiqué que les fonds de ses utilisateurs n’étaient pas affectés.
Le 25 juin 2026, la plateforme avait subi une attaque particulièrement similaire à celle d’octobre. Des pirates avaient compromis un prestataire tiers pour injecter du code malveillant dans l’interface de Polymarket.
Selon les analyses publiées à l’époque, environ 3 millions de dollars de cryptomonnaies avaient été dérobés à un nombre limité d’utilisateurs. Polymarket avait confirmé les vols et annoncé leur remboursement intégral.
L’incident du 29 octobre constitue ainsi au moins le quatrième épisode de sécurité notable documenté depuis décembre 2025, dont deux attaques en quatre mois impliquant du code malveillant introduit par un fournisseur externe.
Un problème de sécurité qui dépasse les portefeuilles de cryptomonnaies
Le scénario observé illustre les risques associés aux dépendances logicielles externes. Lorsqu’un site Internet intègre un programme fourni par une entreprise tierce, ce code peut fonctionner directement dans le navigateur de ses utilisateurs.
Si ce fournisseur est compromis, les attaquants peuvent potentiellement introduire des fonctionnalités malveillantes dans un service pourtant légitime. Dans le cas d’une plateforme financière, ces fonctionnalités peuvent chercher à manipuler des transactions ou à détourner des actifs.
Rien n’indique à ce stade que les contrats intelligents de Polymarket ou l’ensemble de son infrastructure blockchain aient été compromis. Les éléments techniques disponibles pointent principalement vers une attaque de la partie web utilisée par les clients.
Le nouvel incident relance néanmoins les interrogations sur la sécurité des intégrations externes de Polymarket. Après des pertes estimées à environ 3 millions de dollars en juin, la plateforme se retrouve confrontée à une nouvelle affaire de vols de cryptomonnaies, avec un mode opératoire très proche et une nouvelle promesse d’indemnisation.
Source originale : Cyberattaque.org.
