Skip to content
Blockchain Posts

exploit

Polymarket suspend le trading après la compromission d'un prestataire tiers (~2,65 M$)

Polymarket passe son carnet en « cancel-only » le 29 octobre après qu'un prestataire tiers non identifié a été compromis ; environ 2,65 M$ accumulés sur une adresse pirate en POL via Relay.

par 4 min de lecture
exploitpolymarketpolygonsupply-chainon-chain

Polymarket a basculé son carnet d'ordres en mode « cancel-only » et suspendu son relayer le 29 octobre 2026 après la compromission d'un prestataire tiers non identifié qui a vidé des comptes utilisateurs. Selon la société d'analyse on-chain Arkham, une seule adresse d'attaquant, 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, détient désormais environ 2,65 M$ en POL, reçus via une série de swaps USDC.e → POL routés par Relay. Dans une communication publique, Polymarket indique avoir « identifié et corrigé un problème » affectant polymarket.com et saisi les autorités.

Ce qui s'est passé

L'alerte vient d'un trader connu sous le pseudo « Car », qui signale aux alentours de 18h45 (heure de Paris) le 29 octobre que des positions ouvertes sur son compte sont vendues sans son accord et que des fonds quittent son adresse. En quelques minutes, d'autres utilisateurs rapportent le même schéma. Polymarket réagit en :

  • Basculant le carnet central en mode cancel-only : les ordres ouverts peuvent être annulés, mais aucun achat ou vente ne s'exécute plus.
  • Suspendant son relayer, le composant côté serveur qui pousse les transactions autorisées sur Polygon.
  • Signalant une panne majeure sur l'API de trading sur sa page de statut.

En début de soirée (heure US), Polymarket indique avoir trouvé la cause et dit que la plateforme est de nouveau en ligne. Communication officielle : « Un de nos prestataires tiers a été compromis, et nous avons saisi les autorités compétentes. Toute personne impactée sera remboursée. »

Piste on-chain

L'adresse de l'attaquant présumé, tracée par Arkham, montre un schéma constant sur une courte fenêtre : des entrées en USDC.e (le USD Coin bridgé sur Polygon dans lequel sont réglées les positions Polymarket), swappées en POL (le token natif de Polygon) via Relay, un service d'intents cross-chain. Le solde suivi par Arkham s'établit autour de 2,65 M$ en POL au moment de la rédaction ; une partie des fonds a déjà été re-dispatchée sur d'autres adresses.

Polymarket ne nomme pas le prestataire compromis. Côté anglophone, Hudson Rock cité par Decrypt pointe un script chargé par le site Polymarket depuis DebugBear — un service tiers de monitoring de performance web — contenant du code qui cible la session de trading d'un utilisateur connecté, pour vendre ses positions ouvertes et déplacer ses actifs. L'attribution DebugBear est celle de Hudson Rock, pas une confirmation de Polymarket.

Mécanisme — script tiers dans le navigateur, pas les contrats

Le schéma est cohérent avec un détournement de session côté client, pas une faille des smart-contracts :

  • Le code malveillant s'est exécuté dans le navigateur de l'utilisateur, dans sa session authentifiée, avec les permissions de signature déjà accordées au site.
  • Plutôt que d'exploiter un contrat on-chain, il a vendu les positions ouvertes puis initié des retraits qui apparaissaient légitimes au relayer de Polymarket.
  • Les fonds sont ensuite sortis du solde USDC.e en POL via Relay pour brouiller la piste.

Impact

  • ~2,65 M$ cumulés sur l'adresse pirate selon Arkham.
  • Pertes individuelles confirmées jusqu'ici : un trader (« Car ») signale ~800 000 $ envolés ; un proche cité par Cryptoast évoque ~600 000 $. Polymarket n'a pas communiqué le nombre total de victimes.
  • Carnet d'ordres indisponible du milieu d'après-midi UTC jusqu'au retour en ligne en soirée.
  • Remboursement promis. Pas de modalités ni de calendrier publiés.

À surveiller

  1. Si Polymarket confirme ou dément l'attribution DebugBear. La divulgation par le prestataire lui-même du contenu injecté et de la fenêtre affectée fixerait le périmètre.
  2. Le nombre de victimes et le total réellement drainé, une fois les chiffres Polymarket publiés — les 2,65 M$ Arkham tracent une adresse, pas l'agrégat.
  3. Les modalités de remboursement : full, pro-rata, sur preuve on-chain, snapshot de compte.
  4. Les mouvements depuis 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18 et les adresses en aval — les fonds sont désormais en POL et partiellement re-dispatchés.

Contexte — deuxième incident supply-chain chez Polymarket en 2026

C'est la deuxième compromission tierce de Polymarket cette année. Le 25 juin 2026, une dépendance JavaScript empoisonnée du frontend avait drainé ~3,1 M$ en PUSD depuis au moins 11 portefeuilles avant que Polymarket ne retire le vendor et rembourse les utilisateurs. L'incident actuel diffère en surface (un prestataire non nommé plutôt qu'une dépendance identifiée) mais partage le même profil : les contrats de Polymarket sont intacts ; un asset tiers chargé par le site a injecté du code dans les sessions utilisateur en direct. La compromission supply-chain par scripts de monitoring, tags analytiques et SDK de performance est un mode de défaillance répété dans les frontends crypto : les hôtes qui les servent sont rarement dans les politiques CSP et les scripts signent rarement leur charge utile.

Sources

Articles liés