Polymarket a rétabli le trading sur sa plateforme internationale à la suite d'un incident de sécurité chez un prestataire externe le 29 octobre, la société indiquant que les traders ayant perdu des fonds lors de cette violation seront intégralement remboursés. La société d'analyse blockchain Bubblemaps estime qu'environ 2,7 millions $ ont été dérobés à près de 700 utilisateurs, chiffre que Polymarket n'a pas confirmé.

Les chercheurs ont relié l'attaque à un code malveillant intégré dans un service de suivi des performances de sites web. Polymarket US, la plateforme régulée au niveau fédéral pour les utilisateurs américains, n'a pas été touchée.

Comment la pause du trading s'est déroulée

La réponse de Polymarket a commencé par un passage en mode annulation uniquement, permettant aux clients de retirer leurs ordres existants pendant que les nouvelles transactions cessaient d'être traitées. La société a également suspendu le service qui soumet des transactions au nom des utilisateurs, avant de révéler que l'un de ses prestataires tiers avait été compromis.

Le trading est resté en pause pendant plusieurs heures le temps de l'enquête. Une mise à jour ultérieure du compte Polymarket Traders sur X a confirmé que le trading était entièrement de retour en ligne.

Selon la société, le prestataire compromis est basé au Royaume-Uni. Polymarket a précisé que son propre site web n'avait pas été violé et que les forces de l'ordre britanniques ont été informées. Cet épisode montre comment les opérations quotidiennes d'une plateforme peuvent être perturbées via un prestataire, même lorsque sa propre infrastructure reste intacte.

Le piratage n'a pas affecté Polymarket US, la plateforme plus récente qui opère comme une bourse régulée au niveau fédéral pour les utilisateurs aux États-Unis. La plateforme internationale phare est basée sur les cryptomonnaies et est interdite aux États-Unis et dans plusieurs autres pays.

Traçage des fonds volés

Bubblemaps a tracé les fonds provenant de centaines de portefeuilles de dépôt vers une adresse qu'elle a identifiée comme appartenant à l'attaquant. Son schéma montrait 712 portefeuilles de dépôt et environ 2,71 millions $ transitant par la route principale.

Polymarket Drain Report

A third party provider from Polymarket was compromised

700+ users drained and $2.7M stolen

Main attacker: 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18

Funds converted to $POL and sent out to:

$1.4M 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6

$523k… pic.twitter.com/XF7Cxz2GdH

— Bubblemaps (@bubblemaps) October 29, 2026

La société a indiqué que les fonds volés avaient été convertis en POL, le jeton natif de Polygon, et envoyés vers plusieurs adresses. Elle a également suivi des transferts vers Ethereum.

Comment l'attaque a fonctionné

Les chercheurs ont relié le code suspect à un service de suivi des performances de sites web. Ces outils aident normalement les entreprises à observer le chargement et le fonctionnement de leurs sites. Les violations survenant via le code d'un prestataire plutôt que par les systèmes propres d'une entreprise sont communément appelées dans le secteur des attaques de type supply-chain, et les scripts tiers intégrés constituent depuis longtemps un vecteur d'attaque connu pour les plateformes web. Selon les chercheurs, le code malveillant a accédé aux sessions de trading des utilisateurs et déclenché des actions déplaçant les actifs hors de leurs comptes. La méthode d'attaque exacte fait toujours l'objet d'une enquête.

Sur X, plusieurs traders de premier plan ont déclaré avoir perdu des fonds. Polymarket a refusé de communiquer à WIRED le nombre de traders touchés ou le montant des pertes.

Incidents antérieurs et levée de fonds d'un milliard de dollars

Ce n'est pas la première violation de la plateforme. En juin 2026, un autre incident avait entraîné plus de 2 millions $ de pertes pour les traders concernés. Selon l'estimation de Bubblemaps, le dernier incident dépasserait ce total. La société fait face à des controverses depuis son lancement en 2020, notamment des affaires présumées de délit d'initié ayant mené à des arrestations ; les suspects dans ces affaires ont plaidé non coupables. La plateforme permet aux utilisateurs de parier sur l'issue d'événements réels.

En août 2026, Polymarket a levé 1 milliard $ lors d'un tour de financement mené par 1789 Capital, où Donald Trump Jr. est associé. La société est aujourd'hui valorisée à 21 milliards $.

Remboursements promis, détails en attente

Polymarket a promis un remboursement intégral mais n'a communiqué ni calendrier ni processus de réclamation. Les utilisateurs attendent des précisions sur les comptes éligibles, le mode de calcul des pertes et la date de restitution des fonds. Les questions en suspens — la méthode d'attaque exacte, le bilan définitif des pertes et les modalités de remboursement — relèvent désormais de l'enquête en cours de Polymarket, les forces de l'ordre britanniques ayant également été informées. Une analyse complète de l'incident est attendue de l'équipe Polymarket.

Source : Blockonomi