Polymarket, une plateforme de marché prédictif où les utilisateurs parient sur l'issue d'événements réels, a subi une faille de sécurité le 29 octobre : des attaquants ont drainé environ 2,7 millions de dollars de centaines de portefeuilles d'utilisateurs après avoir compromis un service de surveillance tiers et injecté du code malveillant dans le site web de la plateforme.

L'attaque a ciblé l'interface de trading internationale de Polymarket via DebugBear, un fournisseur de surveillance des performances de sites web dont le JavaScript compromis a servi à exécuter des transactions non autorisées. L'analyse blockchain a identifié 737 comptes touchés, avec des pertes combinées d'environ 2,73 millions de dollars, les fonds ayant transité par l'infrastructure de retrait existante de Polymarket.

Polymarket a suspendu temporairement le trading, désactivé le traitement des transactions et supprimé l'intégration concernée avant de rétablir ses opérations. La société a confirmé l'incident de sécurité, signalé l'affaire aux forces de l'ordre britanniques et s'est engagée à rembourser tous les traders touchés. La faille n'a pas impliqué de vulnérabilité confirmée dans les smart contracts de Polymarket ; elle a exploité un logiciel fourni par un service tiers de confiance.

Script DebugBear compromis : des centaines de portefeuilles Polymarket drainés

L'attaque provient d'un JavaScript malveillant distribué via l'infrastructure de Real User Monitoring (RUM) de DebugBear, un service utilisé par les sites web pour suivre les performances et l'activité des utilisateurs. Les chercheurs en sécurité ont découvert que le script compromis contenait des fonctionnalités de drainage de portefeuille capables d'interagir avec des sessions de trading Polymarket authentifiées. Une fois chargé dans le navigateur d'un utilisateur, le code malveillant pouvait examiner les soldes des comptes, identifier les positions ouvertes et initier des transferts d'actifs non autorisés.

Les sites web chargent régulièrement des scripts tiers pour l'analytique, la publicité et la surveillance des performances, et tout ce code s'exécute dans le navigateur du visiteur aux côtés de celui du site lui-même. Lorsque le script d'un fournisseur est compromis, la charge malveillante peut atteindre tous les sites qui l'intègrent — un schéma couramment décrit comme une attaque de la chaîne d'approvisionnement logicielle.

Le script cherchait à liquider des positions sur les marchés prédictifs et à rediriger les cryptomonnaies vers une adresse contrôlée par l'attaquant, en utilisant l'infrastructure de transactions existante de Polymarket. Contrairement à un exploit classique de smart contract, l'attaque n'exigeait pas de casser les contrats blockchain sous-jacents ; elle a détourné des fonctions légitimes de trading et de retrait après avoir obtenu un accès via le frontend du site.

DebugBear a reconnu un incident de sécurité affectant son infrastructure et a exhorté les clients utilisant son service de surveillance à retirer le JavaScript intégré de leurs sites web. Polymarket a ensuite supprimé la dépendance compromise, sa version de production montrant une mise à jour ciblant spécifiquement l'intégration de surveillance DebugBear.

L'incident ressemble étroitement à une attaque de juin qui avait drainé environ 2,94 millions de dollars des utilisateurs de Polymarket, lorsqu'une autre dépendance tierce compromise avait permis à du code malveillant d'atteindre le frontend de la plateforme. Ces deux incidents soulignent comment les intégrations logicielles externes peuvent exposer les actifs des utilisateurs même lorsque les smart contracts au cœur d'une plateforme restent opérationnels.

L'analyse blockchain retrouve 2,73 millions de dollars provenant de 737 comptes

La piste des transactions du 29 octobre a identifié 737 comptes Polymarket touchés et environ 2,73 millions de dollars de retraits non autorisés entre 17h10 et 18h10 UTC. Les enquêteurs ont recensé 985 transactions de drainage individuelles pendant cette période, la plus forte concentration se situant entre 17h25 et 18h10 UTC. Au pic de l'activité, jusqu'à 40 transactions ont été enregistrées en une seule minute. Quatre comptes représentaient environ 43 % des pertes identifiées, tandis que des centaines de portefeuilles plus petits étaient également touchés.

Les transferts sont passés par l'infrastructure de relayer légitime de Polymarket, qui soumet des transactions au nom des utilisateurs, à l'aide d'autorisations de transaction valides. Les actifs volés ont ensuite été échangés contre du POL, la cryptomonnaie native de Polygon — le réseau hébergeant l'activité de trading de Polymarket — avant d'être distribués vers d'autres portefeuilles. Une adresse de réception principale, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, a accumulé environ 28,6 millions de POL pendant l'incident.

L'attaquant a ensuite transféré les fonds vers trois portefeuilles supplémentaires, une partie des actifs étant orientée vers Ethereum via des services de pont inter-chaînes. À 19h49 UTC, environ 2,17 millions de dollars des fonds tracés se trouvaient toujours sur Polygon, tandis que d'autres produits commençaient à circuler entre les réseaux.

L'enquête on-chain a également identifié un retrait supplémentaire d'environ 11 dollars à 19h11 UTC, après que Polymarket avait annoncé que le problème sous-jacent avait été corrigé. La transaction impliquait un compte précédemment touché par l'attaque, soulevant des questions sur la neutralisation immédiate de toutes les autorisations malveillantes. Polymarket n'a pas confirmé de manière indépendante l'estimation de perte de 2,73 millions de dollars ni le nombre de comptes touchés signalé.

Polymarket rétablit le trading et promet des remboursements intégraux

Polymarket a d'abord placé sa bourse internationale en mode « annulation seule » à environ 18h05 UTC, permettant aux utilisateurs d'annuler leurs ordres existants tout en bloquant les nouvelles transactions et en suspendant les opérations du relayer. La plateforme a identifié et supprimé l'intégration compromise avant d'annoncer à 18h37 UTC que la vulnérabilité avait été corrigée. Le trading a repris à environ 19h05 UTC, mettant fin à une interruption d'environ une heure. La plateforme distincte Polymarket US n'a pas été signalée comme touchée.

Polymarket s'est engagée à indemniser tous les traders touchés, mais n'a pas divulgué le nombre d'utilisateurs éligibles, le calendrier de remboursement ni si des fonds volés ont été récupérés. La société a également signalé l'incident aux forces de l'ordre britanniques, où est basé DebugBear, tandis que les enquêteurs s'efforcent d'établir comment l'infrastructure du fournisseur de surveillance a été compromise.

Une période difficile pour la sécurité des plateformes crypto

Cette faille s'ajoute à une période difficile pour la sécurité des plateformes de cryptomonnaies. Le même jour, Binance a confirmé une faille de sécurité de 6,3 milliards de dollars, avec environ 3 milliards de dollars d'actifs gelés après des transferts non autorisés sur plusieurs blockchains. Rien n'indique un lien entre les deux incidents, et leurs méthodes d'attaque supposées diffèrent sensiblement.

Pour Polymarket, ce dernier exploit relance les questions sur les dépendances tierces et les protections entourant les transactions de cryptomonnaies via navigateur. Même sans accès direct aux clés privées des utilisateurs ni vulnérabilité dans les smart contracts sous-jacents, du code malveillant fourni par une intégration de site web de confiance a pu déclencher des transactions et des retraits non autorisés.

Polymarket a rétabli le trading normal et s'est engagée à couvrir les pertes des utilisateurs, mais une explication technique complète de la compromission de DebugBear, de l'impact financier final et du processus de récupération reste attendue.

Source : Crypto Adventure