Polymarket rembourse ses traders après une attaque de script

Un script de suivi des performances chargé sur polymarket.com a été remplacé le 29 octobre par du code malveillant, qui a utilisé les sessions ouvertes de traders pour vendre des positions et sortir des fonds de leurs portefeuilles. Polymarket affirme restituer 3,9 millions de dollars à ses traders et avoir saisi les forces de l’ordre. L’incident a touché la plateforme internationale de Polymarket. Selon CNBC, la plateforme américaine de l’entreprise n’a pas été compromise.

Ce que Polymarket a confirmé

Josh Stevens, VP of Engineering de Polymarket, a décrit l’attaque dans un message sur X que le compte principal @Polymarket a repris le 30 octobre : « Hier, un script de performance tiers sur polymarket.com a été compromis par l’attaquant de son fournisseur, puis remplacé par un script conçu pour viser nos utilisateurs. Pendant une courte période, il a utilisé des sessions ouvertes pour vendre des positions et déplacer des fonds. Le fournisseur a confirmé publiquement la compromission. »

D’après la page de statut de Polymarket, la plateforme était en mode cancel-only (annulation uniquement ; seuls les ordres ouverts peuvent être annulés), avec les actions du relayeur suspendues, le 29 octobre de 14 h 05 à 15 h 05, heure de la côte Est (ET), soit de 19 h 05 à 20 h 05 en France. Polymarket affirme avoir retiré le script compromis « en moins d’une heure », vidé ses caches et réinitialisé toutes les sessions de connexion actives.

Dans son rapport post-incident (postmortem), publié dans la soirée du 30 octobre, Polymarket écrit : « Au total, nous restituons 3,9 M$ aux traders : les 2,7 M$ plus 1,2 M$ pour couvrir les pertes liées à la pause. » Cette somme supplémentaire couvre les positions que le script a vendues de force et celles qui ont perdu de la valeur pendant la suspension des échanges. Plus tôt dans la journée, le compte @PolymarketTrade avait indiqué que 689 des 726 portefeuilles touchés avaient été intégralement remboursés et que les 37 restants étaient réglés au fur et à mesure de leur vérification. Le rapport avance une part de 95 % des portefeuilles touchés. Selon Polymarket, aucune réclamation ni aucun ticket n’est nécessaire ; les traders qui jugent un montant erroné sont renvoyés vers un formulaire lié dans le rapport.

Ce que d’autres rapportent

Au 30 octobre, Polymarket ne nomme pas le prestataire, ni dans ses messages ni dans son rapport. BleepingComputer et la société de sécurité Hudson Rock affirment que le script venait de DebugBear, une entreprise de suivi des performances de sites web, en s’appuyant sur une modification de code chez Polymarket intitulée « remove debugbear rum script ». CNBC rapporte le même lien, d’après une personne au fait du dossier. DebugBear a lui-même écrit le 29 octobre être « touché par un incident de sécurité en cours » et demandé aux clients de son produit Real User Monitoring (RUM) de retirer son code d’intégration. Dans une nouvelle publication, tôt le matin du 31 octobre (CET), DebugBear a indiqué que ses enregistrements DNS avaient été compromis via son bureau d’enregistrement de noms de domaine et que l’attaque, « d’après notre enquête initiale », « visait le site web d’un client spécifique ».

Bubblemaps et BleepingComputer ont publié des estimations le 29 octobre, avant les chiffres de Polymarket. Bubblemaps comptait « plus de 700 utilisateurs vidés », les sociétés d’analyse citées par CNBC comptaient 710 portefeuilles, et BleepingComputer a suivi environ 28,6 millions de jetons POL, d’une valeur d’environ 2,57 millions de dollars, jusqu’à des portefeuilles liés à l’attaquant. Les chiffres de Polymarket sont de 2,7 millions de dollars et 726 portefeuilles.

CNBC rapporte aussi que Polymarket a dit aux utilisateurs sur Discord que ceux qui avaient perdu moins de 10 000 dollars seraient remboursés d’ici le 30 octobre, et que les pertes plus importantes exigeraient un formulaire de décharge signé (release). Le message de Polymarket du 30 octobre et le rapport indiquent qu’aucune réclamation ni aucun ticket n’est nécessaire et ne mentionnent pas de formulaire de décharge.

Ce n’est pas le premier incident de ce type. En juin 2026, Polymarket a indiqué qu’un prestataire tiers avait été compromis et avait injecté un script malveillant dans son interface pour certains utilisateurs. CoinDesk, citant la société d’analyse de la blockchain AMLBot, chiffrait alors les pertes à environ 3,1 millions de dollars sur 11 portefeuilles.

Notre lecture

Pour quiconque garde des crypto-actifs sur un site de jeu ou de paris, l’essentiel est de savoir où l’attaque s’est déroulée. Selon Polymarket, le code malveillant s’exécutait sur son propre site et utilisait des sessions déjà ouvertes. Ce n’était pas une copie factice du site, et Polymarket ne le décrit pas comme une faille de ses contrats intelligents. Ce type d’attaque contre la chaîne d’approvisionnement est difficile à repérer pour un utilisateur. Se déconnecter des sessions qu’on n’utilise pas et ne pas laisser plus de solde que nécessaire sur une plateforme réduit l’exposition. Si vous avez été touché, ne vous fiez qu’aux canaux officiels de Polymarket pour les remboursements : ce genre d’incident attire souvent de faux messages de « remboursement ».

Nous avons couvert un autre incident crypto dans la brèche du portefeuille chaud de Gamdom, et la plateforme américaine de Polymarket dans la fraude à la carte volée et les retraits de même origine. Côté réglementation, voir le Michigan et les contrats sportifs de Polymarket et les avis de blocage DNS de la Norvège.

Disponibilité : La plateforme internationale de Polymarket est bloquée ou restreinte dans plusieurs pays ; sa disponibilité dépend du pays de résidence.