Incident de sécurité de Polymarket : vidage de $520K en jetons Polygon

Un incident de sécurité de Polymarket a vidé plus de 520 000 $ de collatéral du contrat UMA CTF Adapter de la plateforme sur Polygon le 22 mai 2026.

L'enquêteur sur la chaîne ZachXBT a signalé l'incident dans une alerte communautaire et a pointé une adresse de déploiement compromise comme étant le point d'entrée probable de l'attaque. Le vidage s'est produit sur une courte période autour de 09h00 UTC.

Aucun avis officiel de Polymarket ou de UMA n'avait été publié au moment de la rédaction de cet article.

Comment s'est déroulé le vidage de Polymarket ?

Le piratage a ciblé le contrat Admin de l'adaptateur UMA CTF de Polymarket à l'adresse 0x91430C…E5c5, qui est un proxy évolutif gérant l'adaptateur principal détenant le collatéral des marchés. La blockchain révèle les événements initiaux enregistrés sur le contrat Admin vers 09h00:30 UTC. Cela devrait alerter sur une exploitation de modèle de proxy.

Les événements initiaux ont été rapidement suivis d'événements de transfert pour la devise native de Polygon, POL. À 09h00:49, l'administrateur de l'adaptateur a reçu 5 000 POL d'une adresse Polymarket. Cinq secondes plus tard, il a envoyé près de 9 994 POL vers un compte contrôlé par l'attaquant. Le schéma s'est répété à 09h01:19 avec un autre flux entrant de 5 000 POL, suivi d'un transfert de près de 5 000 POL vers la même adresse attaquante à 09h01:26.

Le transfert en deux étapes a déplacé plus de 10 000 POL hors de l'adaptateur en moins d'une minute. Les adresses vidées listées par ZachXBT, 0x871D7c0f et 0xf61e39C7, avaient envoyé du collatéral dans l'adaptateur que l'attaquant a ensuite retiré via le contrat admin. L'adresse attaquante principale a reçu les transferts POL et a commencé à consolider les fonds peu après.

Une clé compromise, et non un bug de contrat intelligent

De cette manière, la chaîne d'appels d'initialisation du contrat admin montre le risque de vol de clé et de vulnérabilité d'initialisation plutôt que tout problème avec la logique de l'oracle optimiste UMA. Le contrat était basé sur l'oracle UMA, mais la violation s'est produite au niveau du contrôle d'accès, et le hacker a obtenu la capacité d'effectuer des appels réservés à l'administrateur.

On peut supposer que soit le processus de déploiement s'est fait avec l'aide d'une clé compromise par les attaquants, soit un proxy de contrat non initialisé était disponible pour l'exploitation. Après avoir reçu les pouvoirs d'administrateur, le hacker a pu retirer l'intégralité du solde du collatéral sans aucun besoin d'exploits personnalisés.

Le piratage de Polymarket ressemble à des événements similaires signalés plus tôt en 2026. Par exemple, le piratage de Step Finance d'environ 27,3 millions de dollars s'est produit en raison d'une violation de la clé exécutive et du mécanisme multi-signatures au début de 2026.

Un cas similaire est le piratage de Drift Protocol d'environ 285 millions de dollars ; il s'est produit en avril 2026 à la suite d'une clé d'administrateur obtenue par ingénierie sociale, ce qui a permis d'ajouter en liste blanche du collatéral sans valeur. Il n'y avait aucune vulnérabilité logicielle dans ces contrats intelligents.

Activité du portefeuille de l'attaquant et traçage

L'adresse 0x8F98075d doit être signalée comme hautement suspecte car elle était la destination des deux transferts de collatéral POL et représente la plus grande opportunité de mouvement de valeur volée hors ou vers le réseau Polygon.

De même, l'adresse intermédiaire impliquée dans les appels d'initialisation 0x65070BE9 peut être supposée contrôlée par les attaquants et mérite une surveillance similaire.

Sur la base des expériences passées, il est possible que la prochaine étape implique des ponts inter-chaînes et des mélangeurs. Dans le cas de Drift, les fonds volés ont partiellement été transférés sur Ethereum via le protocole inter-chaînes appartenant à Circle avant le blanchiment. Aucun rapport n'a été fait à ce jour concernant de grands ponts sortants depuis les adresses suspectées.