Polymarket impose un délai de retrait de 48 heures après une brèche via un script fournisseur de 2,7 M$
- Polymarket a ajouté la fonctionnalité de liste blanche des adresses de retrait, avec vérification par e-mail et un verrouillage temporel de 48 heures.
- Cette fonctionnalité a été ajoutée après qu'un script DebugBear compromis ait drainé environ 2,7 millions de dollars sur 737 comptes le 29 octobre.
- La fonctionnalité protège les traders en bloquant les paiements vers des portefeuilles non approuvés, même au sein d'une session détournée.
Polymarket a ajouté un nouveau paramètre qui permet aux traders d'envoyer des retraits uniquement vers des portefeuilles pré-approuvés.
Cette fonctionnalité arrive environ deux semaines après qu'un script piraté ait drainé environ 2,7 millions de dollars des comptes utilisateurs.
Que fait le nouveau verrouillage de retrait de Polymarket ?
Josh Stevens, vice-président de l'ingénierie chez Polymarket, a annoncé lundi que Polymarket ajouterait une nouvelle fonctionnalité qui ne permettra aux traders d'envoyer des retraits que vers des portefeuilles précédemment approuvés. L'annonce a été faite dans un post sur X depuis le compte @devjoshstevens.
L'ajout d'une nouvelle adresse de portefeuille à un compte utilisateur ne prend que deux étapes. Le trader doit confirmer la demande par e-mail, puis attendre 48 heures. Si le trader n'a pas initié la demande, il peut l'annuler directement depuis cet e-mail.
Avec cette mesure en place, les attaquants ne pourront plus envoyer d'argent vers un nouveau portefeuille sans passer par la vérification e-mail et attendre les deux jours requis. Stevens a déclaré que l'objectif est de s'assurer que les attaquants ne peuvent pas envoyer de l'argent vers n'importe quelle adresse que l'utilisateur ne contrôle pas.
Cependant, le verrou ne résout pas le problème fondamental de la violation dont Polymarket a été victime il y a seulement deux semaines. Cet incident a conduit à la soustraction d'environ 2,7 millions de dollars des comptes utilisateurs. Il a été réalisé via un script tiers exécuté sur le site de Polymarket avec accès aux sessions en direct.
Polymarket avait déjà fait face à ce type de problème plus tôt cette année, en juin, lorsqu'une attaque par script de fournisseur a entraîné la vidange d'environ 3 millions de dollars d'au moins 11 portefeuilles, selon les rapports précédents de Cryptopolitan. Une brèche en décembre 2025 chez un fournisseur d'authentification a également touché les comptes utilisateurs.
Chacun de ces cas impliquait un fournisseur externe, mais rien ne les relie à un seul attaquant.
Comment la faille de sécurité de Polymarket s'est-elle produite, et quelles sont les prochaines étapes ?
Le 29 octobre, Polymarket a suspendu les échanges sur sa plateforme internationale après qu'un attaquant ait pris le contrôle d'un script provenant de DebugBear, une entreprise britannique spécialisée dans la surveillance de la vitesse des sites web. Le script a été remplacé par du code conçu pour vider les portefeuilles.
Des chercheurs de Hudson Rock ont découvert que le code vérifiait si un visiteur était connecté à Polymarket. Il lisait ensuite leurs soldes et positions ouvertes, puis utilisait les outils de trading du site pour vendre ces positions et transférer les fonds vers un portefeuille appartenant à l'attaquant.
Hudson Rock a également constaté que le code du site de Polymarket enregistrait la suppression du script. Polymarket a indiqué qu'il avait transmis l'affaire aux forces de l'ordre.
Bitquery a signalé que les attaquants ont volé 2,73 millions de dollars sur 737 comptes en environ une heure, entre 17 h 10 et 18 h 10 UTC. Ils ont effectué 985 retraits, chacun étant accompagné d'une approbation valide. Les contrats intelligents les ont donc traités comme de véritables actions d'utilisateur.
Un compte a perdu 358 369 $ lors d'un seul retrait, tandis que 276 comptes ont perdu moins de 100 $ chacun. 33 autres utilisateurs se sont vu retirer des parts de marchés prédictifs.
Polymarket a annoncé qu'elle indemniserait intégralement tous ses utilisateurs, mais ceux qui ont perdu moins de 10 000 $ seront remboursés en priorité.
Binance et Polymarket ont également demandé aux validateurs Polygon approuver un hard fork. Un hard fork est une modification du logiciel du réseau que tous les validateurs doivent adopter. Celle-ci permettrait de déplacer environ 70,49 millions de tokens POL gelés, d'une valeur d'environ 6,5 millions de dollars, hors des portefeuilles de l'attaquant. La proposition a été publiée le 4 novembre et présentée lors d'un appel de gouvernance Polygon le 5 novembre. Un vote et une date sont encore en attente.
D'autres entreprises renforcent également leur sécurité. Mardi, la société de sécurité CertiK aurait déclaré, suite au piratage de Binance pour 6,3 milliards de dollars, que les plateformes devraient fixer des limites monétaires strictes sur la quantité qu'elles conservent dans leurs portefeuilles chauds, au lieu de ne compter que sur les ratios de stockage à froid.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Qu'est-ce que la nouvelle liste d'autorisation de retrait de Polymarket ?
Elle permet aux traders de restreindre les retraits aux portefeuilles qu'ils ont préalablement approuvés. L'ajout d'une nouvelle adresse nécessite une vérification par e-mail et un verrouillage temporel de 48 heures, et la demande peut être annulée depuis l'e-mail si l'utilisateur ne l'a pas initiée, selon Josh Stevens sur X.
Combien a coûté aux utilisateurs la brèche de Polymarket d'octobre 29 ?
Environ 2,73 millions de dollars répartis sur 737 comptes, prélevés via 985 retraits autorisés en environ une heure, selon les chiffres de Bitquery. Le plus gros retrait unique s'élevait à 358 369 dollars.
Comment les attaquants ont-ils volé les fonds ?
Un script de surveillance DebugBear compromis a détourné les sessions connectées de Polymarket et a utilisé les propres outils de trading de la plateforme pour vendre des positions et transférer des actifs vers un portefeuille d'attaquant.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
