Compromission de Polymarket via un prestataire : un script injecté draine environ 2,7 millions de dollars de portefeuilles d'utilisateurs
Polymarket, le marché de prédictions crypto, a brièvement interrompu les échanges après qu'un script malveillant implanté via un prestataire tiers compromis a commencé à drainer des fonds depuis les portefeuilles des utilisateurs. Selon la surveillance on-chain de Bubblemaps, les pertes s'élèvent à environ 2,7 millions de dollars touchant près de 700 utilisateurs, des chiffres que l'entreprise n'a pas confirmés. Les échanges ont depuis repris, et Polymarket indique que les utilisateurs concernés seront remboursés.
Un front-end de confiance devenu hostile
Selon des reportages citant des sources du Wall Street Journal et des chercheurs en sécurité blockchain, un script fourni par un prestataire de supervision de performances web a été modifié pour cibler les visiteurs dotés d'une session de trading active et connectée. Les chercheurs de Hudson Rock ont déclaré que le code était conçu pour liquider les avoirs et transférer le produit vers une adresse contrôlée par les attaquants, intégrée au script. Un responsable cité par le Journal a identifié DebugBear, une entreprise britannique de supervision de performances web comme le prestataire concerné ; la société s'est dite touchée par un incident de sécurité et a demandé à ses clients de retirer son code d'intégration. Cette attribution reste une suspicion rapportée et non un constat confirmé, même si Polymarket a indiqué que son propre site n'avait pas été compromis. Le drain lui-même a été cartographié par Bubblemaps, dont les analystes estiment qu'environ 2,7 millions de dollars ont été prélevés sur quelque 712 portefeuilles de dépôt avant que le flux ne soit coupé. Les fonds volés ont été convertis en POL, le token natif de Polygon, et dispersés sur une chaîne d'adresses. Polymarket n'a pas confirmé les chiffres du suivi, et le même travail on-chain a révélé qu'une affirmation largement relayée d'une perte personnelle de 800 000 dollars ne tenait pas debout, le schéma de retraits de ce portefeuille différant de celui des autres victimes.« Nous allons réparer cela et remboursons intégralement tous les traders concernés. »Cette promesse est intervenue tandis que la plateforme traversait l'incident par étapes : d'abord un mode « annulation seule » où les ordres ouverts pouvaient être retirés sans pouvoir en placer de nouveaux, puis une suspension de son service de soumission de transactions, et enfin une restauration complète des échanges. Polymarket a saisi les autorités judiciaires du Royaume-Uni, où le prestataire est basé, et a indiqué que Polymarket US, la plateforme américaine régulée séparément, n'était pas touchée.
Deuxième compromission d'origine externe de l'année
Pour Polymarket, il s'agit de la deuxième compromission de 2026 à provenir d'un fournisseur plutôt que de sa propre infrastructure. En juin, l'entreprise a révélé qu'un prestataire tiers avait été compromis, injectant un script malveillant dans son front-end pour certains utilisateurs. Le PUSD volé, le token de règlement de Polymarket, a été transféré par pont de Polygon vers Ethereum et échangé contre environ 1 893 ETH, un butin estimé à 2,94 millions de dollars. Ce drain précédent a touché un groupe bien plus restreint, entre onze et quinze comptes, mais il a suivi la même logique : du code qui arrive par un canal de confiance et s'exécute dans les pages d'un site dont les utilisateurs n'avaient aucune raison de douter. Un incident en mai, au cours duquel environ 700 000 dollars ont été drainés d'un portefeuille interne de recharge via une clé privée compromise, se situe en dehors de ce schéma de fournisseur. Il pointe néanmoins dans la même direction : la sécurité des fonds des utilisateurs sur une plateforme d'échange dépasse largement le périmètre propre de la plateforme.Pourquoi les attaques de la chaîne d'approvisionnement du front-end fonctionnent si bien
Un domaine légitime avec des années d'ancienneté peut servir du code hostile pendant des heures avant que quiconque ne le remarque, et aucune alerte de phishing ne se déclenchera, car rien dans la page n'est falsifié. Le cadenas, le favori, l'orthographe correcte de l'adresse continuent de dire « faites-moi confiance ». Les deux incidents de Polymarket ont utilisé exactement cette confiance comme surface d'attaque, et c'est ce qui distingue cette classe d'attaque du hameçonnage ordinaire et la rend plus difficile à repérer sur le moment.- Ne conservez que de petits soldes dans des hot wallets connectées au navigateur et traitez-les comme de l'argent de poche, pas comme une épargne.
- Privilégiez les portefeuilles matériels ou les garde-fous de wallet qui simulent les transactions et signalent les approbations inattendues avant leur signature.
- Examinez régulièrement les approbations de tokens en vigueur et révoquez ce qui n'est plus nécessaire.
- Lorsqu'une plateforme annonce une compromission de front-end ou d'un prestataire, déconnectez-vous, fermez les autres sessions et considérez que tout ce qui a été signé pendant la fenêtre de l'incident mérite une vérification.