Skip to content
Blockchain Posts

protocol

Polygon Labs propose un hard fork pour rendre 70,5 M POL bloqués des piratages Polymarket et Binance

Une PIP du 4 novembre propose de remettre à zéro 70,49 M POL (~6,5 M$) sur cinq adresses d'attaquants et de les créditer aux wallets de récupération Polymarket et Binance.

par 5 min de lecture
protocolpolygongouvernanceexploit

Polygon Labs a publié une Polygon Improvement Proposal (PIP) qui propose un hard fork ponctuel sur Polygon PoS pour recréditer 70,49 millions de POL — aujourd'hui gelés sur cinq adresses contrôlées par les attaquants des incidents Polymarket et Binance — vers des wallets de récupération détenus par les deux victimes. La proposition, intitulée Recovery of Funds Held in Blocked Addresses following the Polymarket and Binance Incidents, a été postée par Parvez03 le 4 novembre à 17h08 UTC. Une présentation à l'appel de gouvernance PPGC-47 est inscrite à l'ordre du jour du 5 novembre à 14h30 UTC ; la date du vote final et le numéro définitif de la PIP ne sont pas encore fixés. Couverture secondaire : Journal du Coin, Cryptoast.

Ce qu'il s'est passé

Le 30 octobre, quatre block producers de Polygon PoS (anonymous-91 à anonymous-94) ont ajouté cinq adresses d'attaquants à la blocklist de Bor, le client d'exécution de Polygon, à la demande de Binance. Ce gel empêche les attaquants de bouger les POL volés mais, comme le note la PIP, « les fonds ne peuvent plus bouger, et rien dans la configuration actuelle ne permet de les rendre ». Le hard fork proposé est la réponse de Polygon Labs à ce vide procédural.

Les cinq adresses de classe A, avec les soldes POL natifs lus dans la PIP :

Incident Polymarket (4 adresses, 23 862 736,07 POL au total) :

  • 0xe4C4C39C1733e1C7c06B79f97ED442B68Df41EC6 — 15 331 308,29 POL
  • 0x5392587814Ce8c6af6789764f88e5e9AB0b9962C — 4 295 442,00 POL
  • 0xc91ee0574a14446DE200923729c349B9CAE19b60 — 4 235 982,73 POL
  • 0x3f7019221a925537dC20767C38e80A7127fb1Ffa — 3,05 POL

Incident Binance (1 adresse, 46 626 593,27 POL) :

  • 0x5227f603C1eE34CE3C06eFe6477003BDfCCB2f8c

La PIP retient une valeur indicative de 6,5 M$ au cours de 0,0924 $ / POL. Les 6,19 M USDT également présents sur l'adresse Binance sont exclus — Tether les a déjà gelés au niveau du contrat.

Mécanisme

Au bloc d'activation F, le fork Bor met à zéro le solde POL natif de chaque adresse de classe A et crédite le même montant à une adresse de récupération vérifiée :

  • Polymarket : 0x3dcE0a29139A851Da1dFCa56Af8e8a6440b4D952
  • Binance : 0xd9fd39103674cb061d64d9c3b73b878dbe610b80

Les changements sont strictement limités aux soldes POL natifs des cinq adresses listées. Les adresses dites de classe B (adjacentes mais non liées) ne sont pas touchées. Heimdall, le StakeManager et les contrats de pont sont inchangés. L'offre totale de POL reste identique. La PIP précise que l'implémentation exacte est « à confirmer par l'ingénierie Bor ».

Conditions et précédent

La PIP énumère six préconditions qui, selon elle, doivent toutes être réunies avant qu'une telle action soit envisagée par la gouvernance :

  1. Le vol est publiquement reconnu par la victime.
  2. Tous les block producers ont bloqué les adresses.
  3. Le montant est significatif.
  4. Les fonds sont traçables vers les victimes.
  5. Les parties affectées demandent formellement le remède.
  6. Aucune partie ne conteste le compte.

L'abstract cadre explicitement la proposition comme une exception : « C'est une action extrême qui ne doit pas être reproduite couramment ». Le précédent le plus proche reste le hard fork du DAO en juillet 2016, qui avait sorti l'ETH du contrat de l'attaquant au bloc 1 920 000 et scindé la chaîne en Ethereum et Ethereum Classic. Polygon Labs anticipe la comparaison en décrivant le mécanisme comme une liste fermée de cinq adresses liées à deux incidents précis — pas une primitive générale de gel-et-rendu.

Bloc chiffres

- Adresses incident Polymarket               : 4
- POL sur adresses Polymarket                : 23 862 736,07
- Adresses incident Binance                  : 1
- POL sur adresse Binance                    : 46 626 593,27
- Total POL combiné                          : 70 489 329,34
- Valeur USD indicative (à 0,0924 $ / POL)   : 6,51 M$
- USDT sur adresse Binance (exclus, gelés)   : 6,19 M USDT
- Blocklist Bor en vigueur depuis            : 30 octobre 2026
- Présentation gouvernance                   : 5 nov. 2026, 14h30 UTC
- Fenêtre revendiquée                        : 1 sem. « tendue », 2 sem. « réaliste »

Risques et notes opérationnelles

La PIP identifie trois risques opérationnels :

  1. Exactitude de l'adresse de récupération. Polymarket et Binance doivent prouver qu'ils contrôlent les adresses de destination avant l'activation ; une erreur est irréversible.
  2. Chain split. Les validateurs, fournisseurs RPC et opérateurs de nœuds qui n'upgradent pas resteraient sur une chaîne où les fonds volés subsistent. La PIP appelle à une signalétique coordonnée entre block producers, opérateurs de ponts et explorateurs avant la publication du bloc d'activation.
  3. Contre-mesures des attaquants. Selon le fil, les attaquants ont enchéri jusqu'à 219 450 POL en frais de priorité pour faire passer leurs transactions et auraient approché des validateurs avec des offres en cash. Le fork est en partie une réponse à cette escalade.

Des commentaires d'intégrateurs on-chain (compte williamsj043, 5 novembre) demandent (a) la publication du bloc d'activation à l'avance et (b) une liste d'adresses au format machine. Un autre commentateur, S1W, soulève explicitement le risque de précédent : même un fork strictement cadré crée des attentes pour de futures demandes de gel-et-rendu.

Que surveiller

  1. Le vote PPGC-47 de cet après-midi. Taux de participation des validateurs Polygon et mandat clair ou demandes de révisions sur la garde des adresses de récupération.
  2. Publication d'une liste d'adresses au format machine et du bloc d'activation avant la répétition sur le testnet Amoy.
  3. Une éventuelle contestation on-chain par un tiers revendiquant un intérêt sur les soldes de classe A (aucun signalé à l'heure de publication).
  4. Les déclarations publiques de Binance et de Polymarket confirmant qu'ils contrôlent les deux adresses de récupération listées.
  5. La signalétique des gros fournisseurs RPC et explorateurs (Alchemy, QuickNode, Polygonscan) sur leur suivi de la chaîne forkée.

Contexte

C'est la première fois que la gouvernance de Polygon est saisie d'un hard fork de niveau soldes depuis le lancement de la chaîne PoS. Les forks récents — Lisovo (mars 2026), Giugliano (avril 2026), le bump du client d'exécution du 25 juin — étaient tous des upgrades protocolaires, pas une chirurgie d'état. Le précédent direct reste le fork du DAO sur Ethereum (bloc 1 920 000, 20 juillet 2016), lequel reste aussi la source de neuf années d'arguments juridiques et philosophiques sur la question de savoir si une chaîne généraliste doit jamais réécrire son état. La réponse de Polygon Labs avec cette PIP est étroite : oui, sur cette liste fermée de cinq adresses liées à deux vols publics, une fois ; non, pas comme primitive répétable. Le vote de cet après-midi décide si ce cadrage tient.

Articles liés