Polymarket a suspendu les transactions sur sa plateforme internationale jeudi, après que des attaquants ont détourné le code d'un prestataire externe de confiance pour en faire un outil qui vidait directement l'argent des comptes des utilisateurs connectés. Un portefeuille, attribué à l'un des attaquants présumés, a à lui seul subtilisé plus de 2,5 millions de dollars. L'entreprise derrière la plus grande plateforme de marchés de prédiction au monde, où les traders achètent et vendent des contrats sur l'issue d'élections, de rencontres sportives et de l'actualité, a indiqué avoir identifié et résolu le problème, confié le dossier à la police britannique, et promis que toute personne ayant perdu des fonds serait « intégralement indemnisée ».
La perturbation a touché Polymarket.com, la plateforme internationale (hors États-Unis) utilisée par les traders basés en dehors du pays, et a basculé l'échange en mode annulation seule, son relayeur automatisé étant suspendu pendant environ une heure. C'est la troisième fois en 2026 que des attaquants parviennent à atteindre les utilisateurs de Polymarket via un prestataire ou une clé compromis, et la deuxième cette année à passer par du code exécuté au sein même du site.
Un script de surveillance transformé en siphon
Le point faible ne se situait ni dans les serveurs de Polymarket ni dans la blockchain où repose son argent. Il s'agissait de DebugBear, une société britannique que Polymarket rémunérait pour mesurer la vitesse de chargement et de fonctionnement de son site. Comme beaucoup d'outils de suivi de performance, DebugBear fonctionne en intégrant un petit script dans les pages chargées par le visiteur, ce qui lui confère une place de confiance au cœur du site.
DebugBear a confirmé sur X avoir été « affectée par un incident de sécurité en cours » et a demandé à ses clients de retirer son code d'intégration de leurs pages. Polymarket a précisé que la faille provenait de ce prestataire externe et non de sa propre plateforme, et a transmis l'affaire aux autorités britanniques, DebugBear étant établie au Royaume-Uni.
Les chercheurs de Hudson Rock, une entreprise de cybersécurité qui a examiné le code trafiqué, affirment que le script diffusé par DebugBear avait été réécrit pour accomplir une tâche qu'un outil de surveillance ne devrait jamais exécuter : repérer la session de trading active d'un utilisateur connecté, liquider toutes les positions détenues par ce compte, et transférer le produit vers un portefeuille de destination inscrit en dur dans le script comme adresse de repli. La société indique ne pas encore savoir ce qui déclenchait le script pour un utilisateur donné, ni combien de personnes ont été touchées.
Suivre l'argent sur la chaîne
Parce que chaque transfert s'inscrit sur un registre public, les conséquences sont visibles d'une façon dont la plupart des piratages ne le sont pas. L'analyse d'un portefeuille attribué à un attaquant présumé a dénombré plus de 2,5 millions de dollars retirés au fil de plus de 900 transactions distinctes, la signature d'un script se déclenchant encore et encore à mesure que différents comptes chargeaient la page empoisonnée.
Ce portefeuille, 0x3f99...fc18, détient désormais environ 2,65 millions de dollars en POL, le jeton natif de Polygon, le réseau sur lequel fonctionne Polymarket, selon les données d'Arkham, une plateforme d'analyse de la blockchain. Les deux chiffres ne mesurent pas la même chose et ne doivent pas être additionnés : l'un correspond au montant brut siphonné depuis les comptes, l'autre à ce que le portefeuille détient aujourd'hui, une fois les fonds dérobés convertis en POL.
Les traders pris au piège
Pour ceux qui se trouvent à l'autre bout, les chiffres n'ont rien d'abstrait. Un trader s'exprimant sous le pseudonyme CarOnPolymarket a écrit sur X que 800 000 dollars avaient été retirés de son compte et qu'un ami avait perdu environ 600 000 dollars. Ces affirmations émanent du trader lui-même et n'ont pas été vérifiées de façon indépendante ; elles sont distinctes des totaux des portefeuilles et ne s'y ajoutent pas.
L'aveu de Hudson Rock, incapable pour l'instant de recenser les victimes, prend ici tout son sens : le siphon n'exigeait des utilisateurs ni validation ni clic sur un lien piégé. Dès lors que le script s'exécutait au sein d'une session qu'ils avaient déjà ouverte et à laquelle ils faisaient confiance, l'argent pouvait disparaître alors que la page paraissait tout à fait normale.
L'engagement de Polymarket, et ce qu'il passe sous silence
Le message public de Polymarket était sans ambiguïté sur la question de l'argent : « Nous allons réparer cela et rembourser intégralement tous les traders concernés », et, par ailleurs, que « toute personne touchée sera intégralement indemnisée ». La société a annoncé que les transactions reprendraient vers 15 h, heure de l'Est (ET), le jour même, une fois le problème circonscrit.
Sur l'ampleur des dégâts, l'entreprise s'est montrée plus prudente dans ses formulations. Elle a évoqué la détection et la résolution d'« un problème », sans confirmer de sa propre voix que des utilisateurs avaient perdu de l'argent, alors même que des traders et des analyses on-chain faisaient état, en temps réel, de comptes à six chiffres vidés. Les modalités du remboursement n'étaient pas davantage précisées dans ce communiqué. Les conditions rapportées, que Polymarket n'a pas publiées elle-même, fixeraient la ligne de partage à 10 000 USD : les pertes inférieures remboursées dès vendredi, les réclamations plus élevées soumises à la signature d'une décharge. Tant que l'entreprise ne l'a pas confirmé, ce seuil doit être considéré comme non vérifié.
La troisième ponction de 2026
Ce n'est pas une première pour Polymarket cette année. Vers le mois de mai, environ 700 000 USD avaient été siphonnés d'un portefeuille interne d'approvisionnement après la compromission d'une clé privée. Vers le mois de juin, des attaquants ont exploité un prestataire tiers compromis pour injecter du code malveillant dans l'interface et ont emporté près de 3 millions USD, mais à partir de moins de 15 comptes, et Polymarket avait là aussi promis des remboursements intégraux.
Le fil conducteur, c'est l'interface. L'architecture de Polymarket est non custodiale : les fonds d'un utilisateur se trouvent dans un portefeuille qu'il contrôle, et non sur un compte de l'entreprise, ce qui est censé rendre une intrusion serveur bien moins dangereuse. Mais la page qui puise dans ce portefeuille pour passer et résoudre les ordres est assemblée à partir de code écrit par d'autres sociétés, et en 2026 cette dépendance à du code extérieur a été la porte d'entrée récurrente.
Pourquoi cela compte pour les traders d'ici
La plateforme tombée en panne est précisément celle qui compte localement : les traders israéliens utilisent Polymarket.com, la place internationale, et non l'entité américaine distincte. L'incident survient aussi à un moment délicat pour la réputation de la plateforme auprès de ce public. Il intervient quelques jours seulement après que Polymarket a ouvert une enquête pour délit d'initié sur des positions suspectes prises autour des élections israéliennes de cette semaine, des interrogations sur l'issue des scrutins concernant Netanyahou et le Likoud qui avaient déjà installé la question de l'intégrité de la plateforme dans le débat local.
Un remboursement peut dédommager un trader, mais il ne referme en rien la porte par laquelle les attaquants sont passés. Le correctif retenu par Polymarket et DebugBear, la société d'analyse de performance web dont le script était en cause, a été brutal : retirer purement et simplement le script de surveillance de la page. Cela restaure les comptes et stoppe ce drainer, mais laisse intact le grand enseignement de 2026 : la partie la plus sûre de Polymarket est le portefeuille que vous contrôlez, et la plus dangereuse est le code que l'entreprise laisse d'autres charger juste à côté.
