Piratage de Polymarket : 2,7 millions de dollars dérobés

Le piratage de Polymarket n'a demandé aucun clic de la part des victimes. Selon Clubic, un simple chargement de page a suffi : un script tiers appelé par le site de paris prédictifs contenait du code malveillant. Les chercheurs de Hudson Rock ont établi que ce code cherchait une session de trading déjà ouverte, puis vendait les positions de l'utilisateur et transférait ses actifs vers un portefeuille contrôlé par les attaquants.

L'incident a démarré le jeudi 29 octobre 2026 sur la plateforme internationale Polymarket.com. La société a reconnu « un incident impactant [sa] plateforme internationale » avant d'annoncer avoir « identifié et résolu » le problème.

Un outil de mesure de performance comme porte d'entrée

Le prestataire compromis est DebugBear, une société spécialisée dans la mesure des performances des sites web, dont l'infrastructure Real User Monitoring a servi le script malveillant.

BleepingComputer a analysé le fichier JavaScript malveillant, distribué depuis l'adresse cdn.debugbear[.]com. Il était conçu pour détourner les sessions authentifiées, liquider les positions et transférer les actifs vers un portefeuille d'attaquant identifié par Hudson Rock.

Wallet-draining JavaScript found inside a DebugBear performance-monitoring script served to Polymarket users, with build metadata confirming removal and one user reporting $800,000 stolen on October 29, 2026. Key findings: - Hudson Rock retrieved…

Voir sur X

Trading suspendu, échanges repris en une heure

Pour contenir l'attaque, Polymarket a basculé sa plateforme internationale en mode « annulation uniquement » : les utilisateurs pouvaient encore supprimer leurs ordres, mais les relayers, les services qui transmettent les transactions à la blockchain, ont été suspendus. Peu après, la société annonçait un correctif. Les échanges ont repris environ une heure après leur interruption, selon Cointribune.

La plateforme américaine de Polymarket n'a pas été affectée, précise Blockchain Breaches. Les contrats intelligents de la plateforme n'ont pas été compromis : l'attaque visait uniquement le navigateur des utilisateurs.

Des estimations de pertes qui varient de 2,5 à 3,46 millions

Polymarket n'a pas confirmé de montant. Les estimations proviennent des analystes on-chain, qui suivent les mouvements vers l'adresse attribuée à l'attaquant.

Un trader connu sous le pseudonyme CarOnPolymarket a affirmé sur X avoir perdu 800 000 dollars, et un de ses proches environ 600 000 dollars. Ces montants n'ont pas été vérifiés de façon indépendante, souligne Cryptoast.

« Si vous êtes utilisateur de Polymarket, sécurisez votre compte. Je viens de me faire prendre 800 000 dollars. », CarOnPolymarket, trader sur Polymarket.

Remboursement intégral, mais décharge à signer au-delà de 10 000 dollars

Les modalités d'indemnisation ont été publiées sur le Discord de la plateforme. Pour les victimes ayant perdu moins de 10 000 dollars, Polymarket annonçait un versement au plus tard le 30 octobre. Au-delà de ce seuil, les utilisateurs doivent d'abord signer une décharge juridique.

C'est la deuxième compromission de la chaîne d'approvisionnement du frontend de Polymarket en 2026, relève Blockchain Breaches. Le 25 juin, un autre prestataire avait servi un « wallet drainer » de 18 Ko ciblant spécifiquement le site, selon Source Defense, qui précise que seuls les portefeuilles de plus de 100 000 dollars étaient visés. En France, le site de Polymarket est bloqué.

Ce que ça change pour votre entreprise

Chaque script externe chargé par votre site, outil de mesure d'audience, chat en direct, sonde de performance, s'exécute dans le navigateur de vos visiteurs avec les mêmes droits que vos propres pages. Un inventaire à jour de ces dépendances, des règles CSP et des contrôles d'intégrité (SRI) limitent la casse, mais Source Defense rappelle que ces mécanismes n'ont pas suffi en juin. La première mesure reste de savoir, à l'instant, quels tiers tournent sur vos pages de paiement et d'authentification, et de pouvoir les couper en quelques minutes.