Les problèmes de sécurité de Polymarket pourraient être loin d'être résolus

Polymarket a rouvert la négociation sur sa plateforme internationale le 29 octobre 2026, après avoir été contrainte de suspendre temporairement ses activités en raison d’un script de surveillance compromis. La plateforme a arrêté les ordres, suspendu les activités du relayer et promis aux clients un remboursement intégral. La plateforme américaine distincte n’a pas été affectée.

Un script de surveillance qui accédait aux sessions de trading en direct

Hudson Rock a découvert une charge utile malveillante de 15 187 octets dans le script de surveillance des utilisateurs réels de DebugBear. Il a pu accéder aux informations de compte enregistrées, obtenir des informations sur les clients autorisés des traders et tenter de vendre des positions ainsi que de transférer des jetons.

Le code du site Web de Polymarket a également indiqué que le script DebugBear avait été supprimé. L’attaque semble avoir exploité du code exécuté sur le site, plutôt qu’une faille dans ses contrats intelligents.

Mode annulation uniquement, puis correction par 3 p.m. ET

Polymarket a mis l'échange international en mode « annulation uniquement » le 29 octobre 2026. Son compte de statut a indiqué qu'un fournisseur avait été compromis et que l'affaire avait été transmise aux forces de l'ordre britanniques.

Le 29 octobre 2026, vers 15 h HNE, la reprise des transactions a eu lieu chez Polymarket. L'entreprise a annoncé sa politique de remboursement. Selon le rapport de CNBC, les clients ayant perdu moins de 10 000 $ devraient recevoir leurs remboursements d'ici le 30 octobre 2026. En revanche, les clients de l'entreprise ayant perdu plus que ce montant doivent d'abord signer un acte de décharge. Bien que l'entreprise ait communiqué ses plans de remboursement, elle ne confirme pas que des remboursements aient déjà été émis.

DebugBear a demandé à ses clients de retirer son code

DebugBear a également reconnu un problème de sécurité. Le 29 octobre 2026, l’entreprise a exhorté ses clients à supprimer son code de surveillance pendant que des spécialistes intervenaient pour enquêter.

Nous sommes touchés par un incident de sécurité en cours. Si vous utilisez notre produit RUM, veuillez retirer le code d’intégration de votre site Web.

— DebugBear (@DebugBear) 29 octobre 2026

L’avertissement a mis en lumière une préoccupation plus large. Les scripts tiers peuvent s’exécuter au sein de sites Web légitimes. S’ils sont compromis, ils peuvent accéder aux sessions navigateur actives des utilisateurs.

Estimations préliminaires des pertes versus pertes confirmées

À l'heure actuelle, les dégâts financiers restent incertains. Betting Intelligence et Polysights ont retracé au moins 2,7 millions de dollars de retraits impliquant 710 portefeuilles numériques le 29 octobre 2026, CNBC a rapporté.

Parallèlement, Hudson Rock a identifié environ 2,19 millions de dollars à une adresse de destinataire de secours. Cependant, ce solde ne permet pas d’établir le montant exact volé. Polymarket n’a pas encore confirmé les pertes totales.

Deux précédentes défaillances de fournisseurs, aucune cause commune

Ce n’était pas le premier problème de sécurité lié à un prestataire pour Polymarket. En juin 2026, Halborn et TechCrunch avaient rapporté une attaque par script malveillant. Celle-ci aurait vidé environ 3 millions de dollars d’au moins 11 portefeuilles. Polymarket avait alors promis des remboursements.

Plus tôt, en décembre 2025, une violation de sécurité chez un fournisseur d’authentification distinct a affecté les comptes des utilisateurs. Cryptopolitan et CertiK ont tous deux documenté l’incident.

Les trois cas impliquaient des prestataires externes. Cependant, aucune preuve ne les relie au même attaquant ou à la même cause sous-jacente.

Ce que signifie l’exposition répétée aux prestataires pour un secteur de 78 milliards de dollars

Ces incidents répétés surviennent alors que les marchés prédictifs attirent davantage d’activité de trading. Un rapport issu d’Artemis a enregistré 76,46 milliards de dollars de volume de négociation sur les marchés suivis en septembre 2026. Polymarket représentait 13,12 milliards de dollars. Ces chiffres reflètent l’activité de trading, et non les actifs détenus.

Cette croissance accentue les préoccupations en matière de sécurité. CertiK met en garde contre le fait que les plateformes combinant services web traditionnels et technologie blockchain peuvent toujours présenter des vulnérabilités centralisées.

De tels risques pourraient également décourager les investisseurs institutionnels. Selon Jefferies, les hedge funds montrent de l’intérêt mais restent prudents. Les questions de liquidité, de conformité et de réputation continuent de les freiner.

Pendant ce temps, KPMG souligne les différentes responsabilités des fournisseurs, courtiers, bourses et chambres de compensation. Les bourses réglementées aux États-Unis doivent respecter des exigences en matière de surveillance, de protection des systèmes et de protection des participants. Cependant, ces règles ne s’appliquent pas automatiquement à Polymarket International.

Pour Polymarket, rétablir le trading ne constitue qu’une partie du défi. Le véritable test sera de savoir s’il peut gérer les risques liés aux prestataires externes et regagner la confiance des utilisateurs.