// CLUBIC — FINANZA
Polymarket piraté : un simple chargement de page a suffi pour vider des centaines de portefeuilles
Une simple visite sur la plateforme de paris prédictifs aurait suffi à exposer l’argent de certains utilisateurs. Polymarket annonce avoir résolu l’incident et promet de rembourser les victimes.
Les utilisateurs de Polymarket n’avaient apparemment pas besoin de cliquer sur un lien douteux pour se faire voler leur argent. Le danger venait d’un script chargé par le site lui-même. Selon l’analyse des chercheurs de Hudson Rock, ce code malveillant cherchait à exploiter une session déjà ouverte pour vendre les positions de l’utilisateur ou transférer ses actifs vers un portefeuille contrôlé par les pirates. Des victimes rapportent des opérations effectuées sans leur accord, mais les conditions exactes dans lesquelles les transactions ont pu être validées restent à préciser.
Pour interrompre les opérations pendant son enquête, Polymarket a basculé sa plateforme internationale en mode « annulation uniquement ». Les utilisateurs pouvaient encore supprimer leurs ordres alors que les opérations des relayers étaient suspendues (services techniques qui transmettent certaines transactions des utilisateurs à la blockchain, cf. FAQ en fin d'article). Une trentaine de minutes plus tard, l’entreprise annonçait avoir corrigé le problème et attribuait l’incident à la compromission d’un prestataire tiers. Les échanges ont repris environ une heure après leur suspension.
D'après CNBC, il s’agirait de DebugBear, une société britannique spécialisée dans la mesure des performances des sites web. Au moment des faits, celle-ci a reconnu un incident de sécurité sur X et demandé aux clients de son outil RUM de retirer le code intégré à leurs pages. Elle n’a pas apporté davantage de précisions. Polymarket indique pour sa part avoir alerté les autorités britanniques.
La plateforme n’a pas explicitement confirmé le montant des pertes, mais s’est engagée à indemniser intégralement les personnes lésées. Selon la société d’analyse Bubblemaps, plus de 700 utilisateurs auraient été touchés, pour un total de 2,7 millions de dollars dérobés.
Les modalités de remboursement ont été précisées sur Discord. Pour les victimes ayant perdu moins de 10 000 dollars, Polymarket annonçait un versement au plus tard le 30 octobre. Au-delà de ce seuil, les utilisateurs devront d’abord signer une décharge juridique. La promesse d’un remboursement intégral s’accompagne donc d’une formalité supplémentaire pour ceux qui ont subi les pertes les plus lourdes.
Cet incident ajoute aux difficultés d’une plateforme déjà mise en cause dans l’État de New York pour son activité de jeux d’argent. En France, son site est bloqué par les principaux fournisseurs d’accès à la demande de l’Autorité nationale des jeux, qui considère son offre comme illégale.
Une attaque supply chain côté Web survient quand un service externe intégré à une page (analytics, performance, chat, etc.) est compromis et sert du code malveillant à la place du code légitime. Comme ce script s’exécute dans le navigateur avec les mêmes droits que le site, il peut lire des données de session, interagir avec la page et déclencher des actions à la place de l’utilisateur. Ce n’est pas une faille locale sur l’ordinateur : l’attaque se produit dans la chaîne de dépendances du site. Dans le cas d’un service financier ou crypto, cela peut suffire à initier des ordres, modifier des adresses de destination ou pousser l’utilisateur à valider une transaction sans s’en rendre compte. La gravité dépend ensuite de ce qui protège l’action (revalidation, confirmation wallet, 2FA, etc.).
Le mode « annulation uniquement » consiste à bloquer la création et l’exécution de nouveaux ordres tout en laissant la possibilité d’annuler ceux qui existent déjà. C’est une mesure de confinement : elle limite la surface d’attaque et évite d’amplifier des opérations potentiellement frauduleuses pendant l’enquête. Techniquement, cela revient à désactiver les fonctions d’exécution/matching et à n’autoriser que les actions de retrait/cancellation. Ce mode