Polymarket piraté : 2,5 millions en cryptos volés via un script — découvrez comment les hackers ont agi et si vous êtes en danger
La pause du trading sur Polymarket, suivie d’une annonce sobrement libellée, a rapidement pris des allures de crise. La plateforme de marchés prédictifs, basée à New York, a subi un vol estimé à environ 2,5 millions de dollars en cryptomonnaies, détournées via un code malveillant injecté par l’intermédiaire d’un prestataire tiers. Au‑delà du montant, c’est la mécanique de l’attaque — supply‑chain + JavaScript côté client — qui inquiète : elle montre combien la sécurité d’un écosystème crypto dépend désormais de la résilience de partenaires souvent peu scrutés. Décryptage des faits, des conséquences pour les utilisateurs et des enseignements à tirer.
Chronologie et mécanisme de l’attaque
Peu après 19h, Polymarket a détecté une anomalie et placé la plateforme en mode « cancel‑only » : les ordres pouvaient être annulés mais aucune nouvelle transaction n’était autorisée. Environ trente minutes plus tard, l’activité a été suspendue et la plateforme mise hors ligne pendant l’investigation. Des experts externes (Hudson Rock) et des analyses on‑chain ont rapidement identifié un mouvement de 28,6 millions de POL (token sur la blockchain Polygon) vers un portefeuille inconnu, soit environ 2,57 millions de dollars au moment des faits.
Le vecteur technique retenu est représentatif d’une attaque de la chaîne d’approvisionnement : le malware JavaScript a été livré via le service Real User Monitoring (RUM) fourni par DebugBear — un outil de surveillance des performances web chargé par Polymarket pour collecter des métriques côté visiteur. Le script malveillant, exécuté dans le navigateur des visiteurs, détecte le solde du wallet connecté et initie une transaction vers le portefeuille du ou des attaquants. DebugBear a confirmé l’incident et a recommandé de retirer immédiatement le script RUM compromis.
Pourquoi ce type d’attaque fonctionne particulièrement bien en crypto
Trois facteurs expliquent la réussite de l’opération :
Quelle réponse pour les victimes ?
Polymarket a assuré que les utilisateurs affectés seraient remboursés. Mais deux questions restent ouvertes : combien d’utilisateurs ont été touchés, et selon quelle méthode seront opérés les remboursements ? Le recours à une compensation par la plateforme est fréquent dans la sphère crypto, mais il pose des enjeux de transparence (comment sont identifiés les comptes victimes ?) et de confiance (les fonds de garantie de la plateforme suffisent‑ils ?).
Responsabilité partagée et transparence opérationnelle
La compromission d’un fournisseur tiers met en lumière la notion de responsabilité partagée : la sécurité d’un service en ligne n’est pas seulement l’affaire de son équipe de développement, mais aussi celle des partenaires intégrés. Trois recommandations opérationnelles se dégagent :
Le rôle des outils de monitoring : double tranchant
Les solutions RUM et autres trackers de performance sont devenues indispensables pour optimiser l’expérience utilisateur. Mais elles représentent aussi une dépendance critique : un script tiers peut, en cas de compromission, devenir une porte dérobée vers l’ensemble des sessions des visiteurs. Pour réduire ce risque, des pratiques existent : héberger localement des versions des scripts sous contrôle, appliquer des Content Security Policy (CSP) strictes, et limiter les injections dynamiques.
Impact plus large sur l’écosystème crypto
Cet incident s’ajoute à une série d’attaques récentes visant des plateformes centralisées et des services d’infrastructure crypto. La répétition des incidents nourrit la défiance des utilisateurs et renforce l’argumentaire des régulateurs en faveur de contrôles renforcés et de normes minimales de sécurité pour les prestataires de service d’actifs numériques. À court terme, on peut s’attendre à :
Que retenir pour l’utilisateur lambda ?
Si vous utilisez des plateformes centralisées ou connectez votre wallet à des services web, quelques réflexes simples peuvent limiter l’exposition :
Le vol subi par Polymarket n’est pas un accident isolé mais l’illustration d’un risque systémique : l’écosystème décentralisé repose souvent sur une architecture centralisée d’outils et de services. La sécurisation de cette couche intermédiaire — monitoring, CDN, bibliothèques tierces — deviendra dans les prochains mois un enjeu clé pour qui veut maintenir la confiance des utilisateurs face à la réalité des menaces techniques.
