Polymarket, la plus grande plateforme de marchés de prédiction en cryptomonnaies, a été victime d’un piratage le 29 octobre 2026. En passant par un outil tiers intégré à son site, des attaquants ont détourné entre 2,5 et 2,7 millions de dollars sur plusieurs centaines de comptes en une heure environ, avant que la plateforme ne suspende les échanges et promette de rembourser l’intégralité des pertes.
Que s’est-il passé chez Polymarket le 29 octobre 2026 ?
Le piratage de Polymarket ne vise pas directement la plateforme, mais un de ses fournisseurs. Les attaquants ont compromis DebugBear, une société spécialisée dans la mesure des performances des sites web, dont un script JavaScript de suivi était chargé sur chaque page de Polymarket.
Ce type d’outil, dit de RUM (Real User Monitoring), mesure le temps de chargement réel des pages chez les visiteurs. Il s’exécute donc directement dans le navigateur des utilisateurs, avec les mêmes droits que le site lui-même. Une fois modifié, le script a pu agir à l’intérieur des sessions des utilisateurs connectés.
On parle d’attaque par la chaîne d’approvisionnement (supply chain) : plutôt que de forcer les défenses d’une cible, les pirates corrompent un élément logiciel fourni par un tiers de confiance. DebugBear a reconnu un incident de sécurité et a demandé à ses clients de retirer ses scripts de leurs sites.
Comment le script malveillant a-t-il vidé les comptes ?
D’après les analyses publiées par des chercheurs en sécurité, le code piégé, un fichier d’environ 15 Ko, ciblait les sessions authentifiées sur Polymarket. Il lisait les soldes et les positions ouvertes des utilisateurs, puis tentait d’effectuer des opérations à leur insu.
- Revente automatique des positions ouvertes sur les marchés de prédiction pour les convertir en jetons facilement transférables.
- Affichage de demandes de signature de transactions sur la blockchain Polygon, qui apparaissaient sur le vrai domaine de Polymarket et ressemblaient à des confirmations ordinaires.
- Une fois la signature accordée, autorisation donnée à des contrats contrôlés par les attaquants de transférer les fonds vers leurs portefeuilles.
Selon le mode d’authentification de chaque compte, le script pouvait donc vendre des positions ou déplacer directement des actifs. L’attaque a exploité des fonctions de transaction existantes : aucune faille dans les contrats intelligents (smart contracts, programmes autonomes exécutés sur la blockchain) de Polymarket n’a été mise en évidence.
Combien d’argent a été volé et combien de comptes sont touchés ?
Polymarket n’a pas communiqué de bilan officiel. Les estimations établies à partir des données publiques de la blockchain situent le préjudice entre 2,5 et 2,7 millions de dollars. Un des relevés fait état d’environ 2,73 millions de dollars retirés de 737 comptes en une heure, entre 18h10 et 19h10, heure de Paris.
Le portefeuille identifié comme celui de l’attaquant a accumulé l’équivalent d’environ 2,65 millions de dollars en jetons POL, la cryptomonnaie du réseau Polygon. Une partie des fonds a ensuite été dispersée vers d’autres adresses et transférée vers la blockchain Ethereum via des passerelles inter-chaînes. Au moins un utilisateur aurait perdu à lui seul environ 800 000 dollars.
Polymarket va-t-il rembourser les victimes ?
Oui, Polymarket s’est engagé à rembourser intégralement les traders touchés, sans préciser de calendrier ni le nombre exact de victimes. La plateforme a également signalé les faits aux forces de l’ordre britanniques.
Côté chronologie, la plateforme internationale est passée en mode « annulation uniquement » vers 19h05, heure de Paris, ce qui bloquait toute nouvelle opération. Polymarket a annoncé avoir identifié et corrigé le problème vers 19h37, puis rouvert les échanges vers 20h05, soit environ une heure après la suspension. La plateforme américaine de Polymarket, régulée séparément, n’a pas été signalée comme touchée.
| Point clé | Détail |
|---|---|
| Date | 29 octobre 2026 |
| Vecteur | Script de mesure de performance DebugBear compromis |
| Montant estimé | 2,5 à 2,7 millions de dollars |
| Comptes touchés | Plusieurs centaines (737 selon une estimation) |
| Interruption | Environ une heure |
| Remboursement | Promis pour la totalité des pertes |
Un nouvel incident après celui de juin 2026
Ce piratage n’est pas le premier pour Polymarket cette année. Fin juin 2026, la compromission d’un autre prestataire tiers avait déjà permis de détourner environ 3 millions de dollars à un petit nombre d’utilisateurs, que la plateforme s’était également engagée à rembourser.
La plateforme n’a pas encore publié de rapport technique complet expliquant comment l’infrastructure de DebugBear a été compromise.
Utilisateurs de Polymarket : que faire après ce piratage ?
Les spécialistes en sécurité recommandent aux utilisateurs de vérifier les autorisations accordées depuis leur portefeuille de cryptomonnaies. Sur une blockchain, une signature peut donner à un contrat le droit de dépenser des jetons sans nouvelle confirmation : ces autorisations persistent tant qu’elles ne sont pas révoquées.
- Contrôler la liste des autorisations de jetons actives sur Polygon et Ethereum.
- Révoquer toute autorisation inconnue ou inutile.
- Examiner l’historique des transactions du 29 octobre 2026 en fin d’après-midi.
- Se méfier des messages promettant un remboursement en échange d’une signature ou d’identifiants.
Polymarket doit désormais préciser le montant définitif des pertes et les modalités de remboursement des comptes concernés.
