Polymarket victime d'un vol de cryptos de 2,94 M$ via une faille tierce
Une faille tierce chez Polymarket a exposé ses utilisateurs à un vol sophistiqué, les attaquants ayant injecté du code malveillant dans l'interface frontale de la plateforme et détourné environ 2,94 millions de dollars en cryptomonnaies. L'incident, révélé le 25 juin 2026, met en lumière les vulnérabilités persistantes dans les écosystèmes de la finance décentralisée, où les dépendances externes peuvent servir de portes d'entrée à la fraude.
Une attaque en chaîne aux conséquences immédiates
La faille provenait d'un fournisseur tiers compromis dont le logiciel était intégré à l'interface utilisateur de Polymarket. Les attaquants ont exploité cet accès pour injecter du JavaScript malveillant, ciblant les portefeuilles des utilisateurs détenant du PUSD — une stablecoin utilisée sur la plateforme. Selon des chercheurs en sécurité blockchain, plus de 11 portefeuilles ont été vidés dans le cadre d'une campagne de phishing coordonnée, les fonds volés étant rapidement transférés du réseau Polygon vers Ethereum puis convertis en 1 893 ETH. Plusieurs firmes de sécurité, dont Specter, PeckShieldAlert et GoPlus Security, ont signalé l'incident dans les heures suivant sa détection.
Réaction et responsabilisation
Polymarket a reconnu la faille peu après sa découverte, affirmant avoir neutralisé le script malveillant et retiré la dépendance concernée. L'entreprise a confirmé qu'elle contactait les utilisateurs impactés et s'engageait à rembourser intégralement toutes les pertes. Bien que les détails techniques de l'attaque restent non divulgués, la reconnaissance rapide et les compensations versées témoignent de l'importance accordée à la confiance des utilisateurs pour la pérennité de la plateforme. Cet incident souligne également les risques inhérents à la DeFi, où la composabilité et les intégrations tierces peuvent amplifier l'exposition aux menaces en chaîne.
Dans un autre développement connexe, Polymarket a récemment fait l'objet de critiques concernant ses pratiques promotionnelles impliquant du contenu payant qui faussait les résultats des paris. Bien que sans lien direct avec l'incident de sécurité, cet épisode révèle des préoccupations plus larges en matière de gouvernance et de transparence au sein de la plateforme. À mesure que les enquêtes se poursuivent, cet événement rappelle que, dans les marchés décentralisés, la sécurité dépend du maillon le plus faible de la chaîne tierce.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.