Polymarket s'est engagée à rembourser un total de 3,9 millions de dollars aux utilisateurs après un incident de cybersécurité survenu le 29 octobre 2026, au cours duquel des attaquants ont transféré des cryptomonnaies hors des portefeuilles de clients à l'aide d'un script tiers compromis. La plateforme de marchés de prédiction a confirmé que des pirates ont exploité un script de surveillance des performances fourni par un fournisseur externe pour exécuter des transactions non autorisées depuis les comptes touchés.

Dans une mise à jour de sécurité publiée le 30 octobre, Polymarket a détaillé un ensemble d'indemnisations comprenant 2,7 millions de dollars pour les pertes liées à l'attaque et 1,2 million de dollars supplémentaires pour les interruptions de trading. Selon l'entreprise, 95 % des portefeuilles touchés avaient déjà reçu un remboursement intégral.

Un script tiers compromis a exploité les sessions actives

La faille provient d'un script de surveillance des performances fourni par un prestataire technologique externe. Les attaquants ont remplacé le script légitime par un code malveillant conçu pour exploiter les sessions de trading actives sur la plateforme internationale de Polymarket. Les utilisateurs restant connectés à leurs comptes, le code injecté a permis des transactions non autorisées : les attaquants ont vendu des positions de trading et transféré des fonds depuis des portefeuilles de cryptomonnaies connectés sans l'autorisation des titulaires des comptes.

Reuters a identifié le prestataire concerné comme étant DebugBear, une entreprise de surveillance des performances de sites web. Le fournisseur a reconnu un incident de sécurité et a conseillé à ses clients de supprimer son code de surveillance pendant qu'il enquêtait sur la compromission. Ce point d'entrée s'inscrit dans une catégorie plus large de compromissions de la chaîne d'approvisionnement web : les scripts tiers s'exécutent au sein de pages de confiance, et des vecteurs similaires ont été utilisés lors des attaques de skimming de cartes Magecart en 2018, qui ont touché British Airways et Ticketmaster — bien que ces campagnes aient collecté des données de cartes de paiement, celle-ci ciblait des sessions de trading actives et des portefeuilles de cryptomonnaies connectés.

Polymarket a temporairement suspendu le trading et le traitement des transactions après avoir détecté une activité suspecte. La plateforme a ensuite supprimé le script malveillant, vidé les caches du site web et réinitialisé les sessions de connexion actives avant de rétablir les opérations normales.

Une indemnisation qui va au-delà des fonds volés

Le programme de remboursement couvre davantage que les actifs directement volés pendant l'attaque. Polymarket s'est également engagée à indemniser les traders ayant subi des pertes financières en raison de la suspension temporaire du trading.

Les 1,2 million de dollars supplémentaires couvrent les pertes admissibles liées aux positions affectées par l'interruption, y compris les positions ayant perdu de la valeur lorsque les marchés ont fermé pendant la pause et certaines transactions finalisées après la reprise du trading. Les utilisateurs éligibles recevront une indemnisation automatiquement, déterminée à partir des registres de la blockchain et de l'activité de trading, et les clients estimant que leur remboursement est incorrect peuvent demander une révision supplémentaire. Étant donné que les paiements sont calculés à partir des enregistrements on-chain et de trading plutôt que d'un processus de réclamation manuel, les utilisateurs contestant un montant doivent passer par ce processus de révision pour le corriger.

Une refonte de la sécurité ciblant le risque tiers

L'incident met en évidence les vulnérabilités associées aux logiciels externes intégrés aux plateformes de trading de cryptomonnaies. Même lorsque l'infrastructure blockchain centrale reste opérationnelle, des composants web compromis peuvent exposer les utilisateurs à des pertes financières substantielles. En pratique, la surface d'attaque d'une plateforme inclut le code front-end fourni par des prestataires, en plus des contrats intelligents et de la gestion des clés.

Polymarket a déclaré renforcer ses contrôles de sécurité par une vérification plus stricte des scripts, une surveillance accrue et des restrictions améliorées sur le code tiers. L'entreprise a signalé l'incident aux autorités et continue d'enquêter sur les attaquants.

L'engagement d'indemnisation de 3,9 millions de dollars constitue une réponse financière significative à la faille, qui souligne l'importance de protéger les sessions de trading actives alors que les marchés de prédiction attirent une participation plus large. Les points à suivre sont les remboursements dus aux environ 5 % de portefeuilles touchés pas encore intégralement indemnisés, les ajustements issus des révisions demandées par les utilisateurs, et l'issue du signalement aux autorités ainsi que des enquêtes en cours menées par Polymarket et DebugBear.

Source : CryptoMeter io