Polymarket a suspendu les échanges sur sa plateforme internationale pendant près d’une heure, le jeudi 29 octobre, après ce qu’elle décrit comme la compromission de l’un de ses prestataires tiers. La société d’analyse blockchain Arkham a retracé environ 2,65 millions de dollars prélevés dans les portefeuilles d’utilisateurs jusqu’à une adresse d’attaquant présumé, selon le site spécialisé The Block, cité par NBC News. Polymarket affirme qu’elle remboursera chaque trader touché. Elle n’a pas dit combien ils étaient.
Ce piratage de Polymarket est le deuxième depuis juin où des utilisateurs perdent de l’argent à cause d’un code que l’entreprise attribue à un fournisseur extérieur. En juin, un script malveillant diffusé via son site par un prestataire compromis avait vidé environ 3 millions de dollars des comptes de plus de 11 victimes, d’après The Next Web. Cette fois, les intrus seraient passés par un logiciel de DebugBear, un outil d’analyse web et de suivi des performances, selon NBC, qui cite une personne au fait du dossier s’exprimant sous couvert d’anonymat. Polymarket n’a pas elle-même nommé le prestataire.
La plateforme est l’un des deux géants des marchés de prédiction, présentée sur notre fiche Polymarket, et elle était déjà sous le feu des critiques cette semaine pour des paris suspects. La plateforme américaine ne semble pas avoir été touchée, a rapporté NBC.
Une heure en mode annulation seule le 29 octobre
DebugBear a de son côté indiqué sur X qu’smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il traitait un « incident de sécurité en cours » vers 14 h, heure de la côte Est, soit 18 h UTC, a rapporté NBC. Cette déclaration, telle que rapportée, ne mentionne pas Polymarket, et Polymarket n’a pas nommé DebugBear. Le lien entre les deux repose sur la seule source anonyme de NBC.
À 18 h 05 UTC, la page d’état de Polymarket a consigné une panne majeure de son service Predictions et de son API de trading, comme l’a aussi relevé BlockchainReporter. La plateforme est passée en mode « annulation seule » (cancel-only) : les traders pouvaient retirer leurs ordres ouverts, mais plus placer de nouveaux paris. Polymarket a aussi mis en pause son relayeur, le service qui récupère les transactions signées par les utilisateurs dans leur navigateur et les soumet à la blockchain Polygon. « Les actions du relayeur sont suspendues le temps de notre enquête », a écrit l’entreprise sur X.
Une minute plus tard, à 18 h 06 UTC, le compte d’état de Polymarket sur X, Poly_Status, a ouvert un fil reprenant le même avis : la plateforme était en mode annulation seule et les actions du relayeur suspendues pendant que l’équipe examinait « un incident ». À ce stade, le message ne parlait que d’une panne, sans mentionner de piratage.
L’explication est venue à 18 h 37 UTC, dans une mise à jour de la page d’état que NBC a également citée à partir des messages de Polymarket : « L’un de nos fournisseurs tiers a été compromis, et nous avons saisi les autorités compétentes. » La même mise à jour disait que le problème avait été « identifié et corrigé » sur Polymarket.com et que, « par excès de prudence », les échanges restaient suspendus le temps de remettre la plateforme en service. Polymarket a précisé que l’attaque semblait venir du Royaume-Uni et a saisi la police britannique.
À 18 h 55 UTC, la page d’état a annoncé une reprise des échanges vers 15 h, heure de New York, et l’incident a été classé comme résolu à 19 h 05 UTC, une heure après le début de la panne. NBC indique aussi que les échanges ont repris à 15 h ET. Un article de BlockchainReporter publié plus tard dans la journée décrivait encore le mode annulation seule, mais le journal de Polymarket montre que la suspension s’est terminée à 19 h 05 UTC.
Environ 2,65 millions de dollars dérobés, et aucun décompte des victimes
Le seul chiffre de perte disponible à ce stade est celui d’Arkham, rapporté par The Block et repris par NBC : environ 2,65 millions de dollars siphonnés dans les portefeuilles d’utilisateurs. Un représentant de Polymarket a refusé de commenter ce montant comme la nature exacte de l’attaque. Dans ses messages publics, l’entreprise n’a pas confirmé que des utilisateurs avaient perdu de l’argent, mais elle a dit que « toute personne touchée sera indemnisée intégralement ».
Arkham attribue à l’attaquant présumé l’adresse 0x3F99139F1C5854bb628c2e576Aaf638e99dFfc18, qui détenait environ 2,65 millions de dollars en POL, le jeton natif de Polygon, après une série d’échanges d’USDC.e contre du POL passés par le protocole Relay, d’après BlockchainReporter. Les fonds ont ensuite été déplacés vers d’autres adresses. Lorsque nous avons consulté cette adresse sur Polygonscan le matin du 30 octobre, elle ne contenait presque plus rien : une fraction de POL et environ 11 USDC.e. Ses 39 transactions datent toutes du 29 octobre, entre 17 h 50 et 18 h 55 UTC environ selon l’horodatage de l’explorateur. Les premières, de 17 h 50 à 17 h 56 UTC, sont des transferts passant par le contrat Conditional Tokens de Polymarket, celui qui détient les positions des traders. Cela précède d’une dizaine de minutes les premières alertes publiques.
Personne en dehors de l’entreprise ne sait combien de traders ont été touchés. Des signalements non confirmés sur le Discord de Polymarket évoquaient des portefeuilles vidés, a indiqué NBC. Un trader qui poste sous le pseudonyme CarOnPolymarket a dit avoir perdu 800 000 dollars et qu’un ami avait perdu environ 600 000 dollars, selon BlockchainReporter. Si ces deux témoignages sont exacts, ils représentent à eux seuls 1,4 million de dollars, un peu plus de la moitié du total d’Arkham. Polymarket n’a confirmé ni l’un ni l’autre.
Comment le script visait les traders connectés, selon Hudson Rock
Le récit le plus détaillé du mécanisme vient de la société de sécurité Hudson Rock, rapporté par BlockchainReporter. Nous n’avons pas pu lire l’analyse de Hudson Rock elle-même : la description ci-dessous est donc de seconde main. Selon ce compte rendu, un script chargé depuis le fournisseur extérieur cherchait dans la page la session de trading d’un utilisateur connecté, tentait de vendre ses positions puis d’en transférer le produit. Le même portefeuille d’attaquant était inscrit dans le script comme destinataire de repli.
Les outils de suivi des performances fonctionnent en plaçant un petit morceau de JavaScript sur les pages d’un client pour mesurer les temps de chargement et les erreurs. Ce script s’exécute dans le navigateur du visiteur avec les mêmes accès que le code du site lui-même. Si quelqu’un le modifie à la source, tous les sites qui le chargent servent la version altérée, sans que leurs propres serveurs soient touchés. Les chercheurs en sécurité parlent d’attaque de la chaîne d’approvisionnement côté client.
C’est pourquoi l’attaque n’avait besoin ni de la phrase de récupération ni de la clé privée de personne. Un trader connecté, avec la page ouverte, suffisait, si le récit de Hudson Rock est exact. BlockchainReporter indique que les contrats principaux de Polymarket n’ont pas été piratés. Notre explication sur les endroits où les piratages crypto ont réellement lieu détaille pourquoi le site web et le portefeuille, plutôt que la blockchain elle-même, sont là où l’on perd le plus d’argent.
Beaucoup de points restent inconnus. DebugBear n’a pas confirmé que son logiciel était la porte d’entrée, comme le dit la source de NBC. Personne n’a dit comment le fournisseur avait été compromis, quels autres sites chargeaient le même script, ni s’il était encore diffusé après l’alerte.
Deuxième exploit de prestataire depuis juin, troisième perte de 2026
L’incident de jeudi ressemble beaucoup à celui du 25 juin. À l’époque, le code d’un fournisseur tiers avait été altéré et un script malveillant avait atteint certains utilisateurs via l’interface de Polymarket, a rapporté The Next Web. PeckShield avait estimé les pertes à environ 3 millions de dollars en pUSD, le jeton dollar de Polymarket ; l’attaquant avait fait passer les fonds de Polygon vers Ethereum et les avait échangés contre environ 1 893 ETH. Polymarket n’avait pas nommé ce prestataire non plus, et avait remboursé intégralement les victimes.
Un mois plus tôt, le 22 mai, le problème venait de la maison. Un attaquant avait vidé une adresse de Polymarket sur Polygon que l’entreprise décrivait comme un portefeuille servant aux opérations internes de réapprovisionnement. L’enquêteur ZachXBT l’avait repéré alors qu’environ 520 000 dollars avaient disparu ; le total a atteint environ 700 000 dollars. Le vice-président de l’ingénierie de Polymarket a dit que la clé avait six ans, selon Web3 Is Going Just Great.
Et en décembre 2025, plusieurs utilisateurs avaient signalé des tentatives de connexion suivies de positions fermées et de soldes vidés. Polymarket avait invoqué « une vulnérabilité introduite par un fournisseur d’authentification tiers », qu’elle n’avait pas nommé, d’après The Block.
| Date | Ce qui a cédé | Perte rapportée | Comptes touchés |
|---|---|---|---|
| Décembre 2025 | Fournisseur de connexion tiers (non nommé) | Non communiquée | « Un petit nombre d’utilisateurs » |
| 22 mai 2026 | Clé privée d’un portefeuille interne de réapprovisionnement | Environ 700 000 $ | Portefeuille de l’entreprise |
| 25 juin 2026 | Script d’un prestataire compromis (non nommé) | Environ 3 millions de $ (PeckShield) | Moins de 15 |
| 29 octobre 2026 | Script tiers (DebugBear, selon une source de NBC) | Environ 2,65 millions de $ (Arkham) | Non communiqué |
Trois de ces quatre cas sont passés par des logiciels que Polymarket n’a pas écrits. Les deux derniers suivent le même schéma : un script chargé dans les pages de trading, et non une faille des contrats intelligents.
Remboursements promis, pas encore versés
« Nous allons réparer cela et rembourser intégralement tous les traders touchés », a déclaré Polymarket dans un message ultérieur cité par NBC. Au moment du compte rendu de BlockchainReporter, aucun remboursement n’avait été confirmé, et l’entreprise n’avait pas dit comment l’indemnisation serait calculée ni quand elle arriverait. Le précédent de juin joue en faveur des utilisateurs, puisque ces pertes avaient été remboursées.
Polymarket n’est pas la seule plateforme de prédiction à promettre des remboursements cette semaine. Deux jours plus tôt, Predict.fun s’était engagée à rembourser ses utilisateurs après la sortie d’environ 400 000 USDT de leurs portefeuilles.
Ce que cette panne change pour Polymarket et ses traders
Polymarket était valorisée 21 milliards de dollars en septembre après un tour de 1 milliard mené par des investisseurs emmenés par Donald Trump Jr., et elle traite environ 200 millions de dollars par jour, selon NBC. Une suspension d’une heure ne pèse que peu dans ce volume. Le coût le plus lourd est la confiance : trois pertes en cinq mois environ, dont deux via du code extérieur, sur une plateforme qui demande aux utilisateurs de laisser de l’argent sur son site pour parier.
Le moment tombe mal. L’entreprise a dit cette semaine avoir examiné « des dizaines » de paris suspects sur les élections de mi-mandat, et Bloomberg a rapporté qu’elle enquêtait sur des paris liés aux élections en Israël. Les marchés de prédiction sont aussi au cœur d’un bras de fer entre les États américains et l’État fédéral sur qui doit les réguler, avivé par les poursuites pénales de l’Utah contre Kalshi et ses fondateurs.
Pour les traders de la plateforme internationale, ce que l’on sait reste limité. Le script, tel que décrit par Hudson Rock, visait les utilisateurs disposant d’une session ouverte et connectée : toute personne ayant utilisé Polymarket.com vers 18 h UTC le 29 octobre a intérêt à comparer son historique d’ordres et ses soldes avec ce qu’elle attend. Polymarket n’a pas dit si les victimes devront déposer une demande ou seront contactées, comme en juin.
Ce qu’il faut surveiller ensuite
Les prochains éléments devraient venir de quatre endroits. DebugBear n’a pas encore publié de récit de ce qui s’est passé ni des clients exposés. L’analyse de Hudson Rock elle-même confirmerait ou corrigerait la description de seconde main du script. Polymarket doit à ses utilisateurs un retour d’expérience, un nombre de victimes et une date de remboursement. La police britannique, saisie de l’affaire, n’a rien dit publiquement pour l’instant.
Sur la blockchain, des enquêteurs suivront les POL sortis de l’adresse de l’attaquant le 29 octobre. L’autre question ouverte tient à la conception : Polymarket va-t-elle garder des scripts tiers sur les pages où les utilisateurs échangent de l’argent réel, après deux incidents où c’est par là que l’argent est parti ?