Des utilisateurs de Polymarket ont perdu des fonds après le détournement d’un script de surveillance

Polymarket, un marché de prédictions où l’on parie en cryptomonnaie sur des événements réels, a brièvement suspendu les transactions sur son site international après que des attaquants ont utilisé un script tiers pour vider les fonds de certains utilisateurs. Polymarket dit que toutes les personnes touchées seront indemnisées. Si vous utilisez Polymarket ou une application crypto dans votre navigateur, voici ce qui s’est passé et ce qu’il est bon de savoir.

Ce qui s’est passé

L’après-midi du 29 octobre 2026 (heure de l’Est), Polymarket a annoncé que l’un de ses fournisseurs tiers avait été compromis. La plateforme a placé sa bourse internationale, Polymarket.com, en mode annulation seulement, a corrigé le problème et a repris les transactions environ une heure plus tard, selon BleepingComputer (en anglais). Polymarket a déclaré que toute personne touchée serait remboursée intégralement.

Selon Hudson Rock et BleepingComputer, le script venait de DebugBear, un service qui mesure la vitesse de chargement des sites Web à l’aide d’un petit morceau de JavaScript intégré à la page. Les chercheurs de Hudson Rock ont trouvé du JavaScript malveillant servi depuis les serveurs de DebugBear qui, d’après l’analyse de BleepingComputer, utilisait les sessions Polymarket ouvertes des visiteurs pour vendre leurs positions ou transférer leurs jetons et leurs cryptomonnaies vers le portefeuille d’un attaquant. DebugBear a indiqué sur X qu’elle faisait face à un incident de sécurité et a demandé aux clients de son produit de surveillance de retirer son code de leurs sites.

Polymarket n’a pas confirmé le montant dérobé. BleepingComputer a retracé environ 2,5 millions de dollars américains sortis d’un portefeuille nommé dans le script. Deux firmes d’analyse ont dit à CNBC (en anglais) qu’un compte avait retiré au moins 2,7 millions de dollars de 710 portefeuilles. CNBC rapporte que la plateforme américaine de Polymarket n’a pas été touchée, et que Polymarket a dit aux utilisateurs sur Discord que ceux qui ont perdu moins de 10 000 dollars seraient remboursés d’ici le 30 octobre, alors que les montants plus élevés exigent d’abord la signature d’une renonciation.

Rien n’indique pour l’instant que des renseignements personnels comme des noms ou des adresses courriel aient été pris. Il s’agit de fonds déplacés à partir de sessions ouvertes.

Ce que ça veut dire pour vous

Les sites Web chargent du code de nombreux services externes : analytique, clavardage, outils de performance. Si l’un de ces services est piraté, son code s’exécute sur tous les sites qui l’utilisent, avec les mêmes accès que vous quand vous êtes connecté. Impossible de repérer celui-ci à partir de la page. Une attaque semblable par script partagé a touché des boutiques en ligne brésiliennes par l’entremise de Convertr cette semaine.

Ce que vous pouvez faire

1. Vérifiez votre activité sur Polymarket. Cherchez des transactions, ventes ou transferts que vous n’avez pas faits le 29 octobre ou autour de cette date.
2. Suivez les étapes de remboursement de Polymarket à partir de son site, de son application ou de son Discord officiel. Méfiez-vous de quiconque vous écrit en premier pour vous aider à récupérer vos fonds : les arnaques au remboursement suivent souvent ce genre d’incident.
3. Ne partagez jamais la phrase de récupération de votre portefeuille. Aucune vraie équipe de soutien ne vous la demandera.
4. Déconnectez-vous des sites de transactions quand vous avez terminé. Cette attaque passait par des sessions déjà ouvertes.

Comment Frame peut aider

Frame ne voit pas dans les portefeuilles crypto et ne peut pas arrêter un script sur le site d’une autre entreprise. Il peut toutefois aider pour la suite d’un incident comme celui-ci : les alias de courriel de Frame vous permettent de donner à chaque application financière sa propre adresse, pour qu’un courriel de « remboursement » reçu à la mauvaise adresse soit facile à reconnaître comme faux. Frame ne recueille ni ne conserve jamais de données divulguées.

Sources

• BleepingComputer, Polymarket halts trading after crypto-draining script breach, $2.5M traced (en anglais), 29 octobre 2026
• CNBC, Some Polymarket user funds stolen by hackers; exchange referring matter to U.K. authorities (en anglais), 29 octobre 2026