Polymarket a rouvert son exchange international aux échanges le 29 octobre 2026, après un bref arrêt forcé par la compromission d'un script de surveillance tiers. La plateforme a stoppé les ordres entrants, interrompu les activités du relayer et promis à ses clients le remboursement de leurs fonds. La plateforme américaine distincte de la société n'a pas été affectée.

Un script de surveillance qui s'infiltrait dans les sessions de trading actives

La société de cybersécurité Hudson Rock a découvert une charge malveillante de 15 187 octets intégrée dans le script Real User Monitoring (RUM) de DebugBear. Les scripts RUM sont un outil courant de performance web : les opérateurs de sites les intègrent afin qu'ils s'exécutent dans le navigateur de chaque visiteur et mesurent le chargement des pages dans des conditions réelles. Le code pouvait accéder aux informations de compte enregistrées, identifier les clients autorisés utilisés par les traders, et tenter de vendre des positions ou de transférer des tokens.

Le code du site de Polymarket a ensuite montré que le script DebugBear avait été retiré, ce qui indique que l'attaque a exploité du code exécuté sur le site plutôt qu'une faille dans les smart contracts de la plateforme. Hudson Rock a publié ses conclusions dans un rapport sur son blog InfoStealers.

Mode annulation seule, puis reprise des échanges à 15 h HE

Polymarket a placé l'exchange international en mode annulation seule le 29 octobre 2026. Son compte de statut a indiqué qu'un fournisseur avait été compromis et que l'affaire avait été signalée aux forces de l'ordre britanniques.

Vers 15 h HE le même jour, les échanges ont repris sur la plateforme. La société a également annoncé une politique de remboursement. Selon le rapport de CNBC, les clients ayant perdu moins de 10 000 $ devraient recevoir leur remboursement d'ici le 30 octobre 2026. Les clients ayant perdu davantage doivent d'abord signer une décharge. Bien que Polymarket ait communiqué ses plans de remboursement, elle n'a pas confirmé qu'un remboursement ait été effectué.

DebugBear a demandé à ses clients de retirer son code

DebugBear a également reconnu le problème de sécurité. Le 29 octobre 2026, la société a exhorté ses clients à retirer son code de surveillance pendant que des intervenants spécialisés menaient l'enquête.

We're impacted by an ongoing security incident. If you use our RUM product, please remove the embed code from your website. — DebugBear (@DebugBear) October 29, 2026

L'alerte a mis en évidence une préoccupation plus large : les scripts tiers peuvent s'exécuter au sein de sites web légitimes et, s'ils sont compromis, ils peuvent accéder aux sessions de navigateur actives des utilisateurs. Comme l'avis concernait tout site exécutant l'intégration RUM, il a également souligné comment un seul script de fournisseur compromis peut exposer simultanément de nombreux sites sans lien entre eux.

Estimations préliminaires des pertes contre pertes confirmées

Les dégâts financiers restent pour l'instant incertains. Betting Intelligence et Polysights ont retracé au moins 2,7 millions de dollars de retraits impliquant 710 portefeuilles le 29 octobre 2026, a rapporté CNBC. Par ailleurs, Hudson Rock a identifié environ 2,19 millions de dollars sur une adresse de destinataire de repli, bien que ce solde ne permette pas d'établir le montant dérobé. Polymarket n'a pas encore confirmé le total des pertes.

Deux précédents incidents fournisseurs, sans cause commune

Ce n'était pas le premier problème de sécurité lié à un fournisseur pour Polymarket. En juin 2026, Halborn et TechCrunch ont rapporté une attaque par script malveillant qui aurait drainé environ 3 millions de dollars sur au moins 11 portefeuilles. Polymarket avait alors également promis des remboursements.

Plus tôt, en décembre 2025, une violation distincte d'un fournisseur d'authentification avait affecté les comptes des utilisateurs. Cryptopolitan et CertiK ont tous deux documenté l'incident.

Les trois cas impliquaient des fournisseurs externes. Cependant, aucune preuve ne les relie au même attaquant ou à une cause sous-jacente commune.

Ce que signifie cette exposition répétée aux fournisseurs pour le secteur

Ces incidents répétés surviennent alors que les marchés de prédiction attirent davantage d'activité de trading. Un rapport issu d'Artemis a enregistré 76,46 milliards de dollars de volume d'échanges sur les marchés suivis en septembre 2026, dont 13,12 milliards de dollars pour Polymarket. Ces chiffres représentent une activité de trading, et non des actifs détenus.

Cette croissance met les préoccupations de sécurité en sharper relief. CertiK avertit que les plateformes combinant services web traditionnels et technologie blockchain peuvent toujours présenter des vulnérabilités centralisées. De tels risques pourraient également décourager les investisseurs institutionnels. Selon Jefferies, les hedge funds manifestent de l'intérêt mais restent prudents, les préoccupations de liquidité, de conformité et de réputation continuant de les freiner.

Par ailleurs, KPMG souligne les responsabilités distinctes des fournisseurs, courtiers, exchanges et chambres de compensation. Les exchanges réglementés aux États-Unis doivent respecter des exigences de surveillance, de protection des systèmes et de protection des participants. Cependant, ces règles ne s'appliquent pas automatiquement à Polymarket International.

Pour Polymarket, le rétablissement des échanges ne représente qu'une partie du défi. L'épreuve la plus importante est de savoir si elle pourra gérer les risques liés aux fournisseurs externes et regagner la confiance des utilisateurs. Les indicateurs à court terme incluent l'arrivée des remboursements inférieurs à 10 000 $ d'ici la date annoncée du 30 octobre, le déroulement du processus de décharge pour les demandes plus importantes, la confirmation éventuelle d'un chiffre de pertes total, et les résultats du signalement aux forces de l'ordre britanniques et des enquêtes en cours.