Attaque sur la chaîne d'approvisionnement du frontend de Polymarket : 3 millions de dollars détournés

Le 26 juin 2026, Polymarket — le grand marché prédictif fondé sur les cryptomonnaies — a confirmé une attaque sur la chaîne d'approvisionnement au cours de laquelle un prestataire frontend tiers compromis a servi à injecter du JavaScript malveillant sur le site de la plateforme. Le code falsifié a incité les utilisateurs à approuver des transactions frauduleuses, détournant environ 3 millions de dollars d'actifs cryptographiques depuis moins de 15 comptes.

Polymarket a souligné que son infrastructure et ses serveurs backend n'ont pas été compromis — la violation s'est limitée à l'expérience côté navigateur fournie aux utilisateurs. L'entreprise s'est engagée à rembourser intégralement tous les clients touchés.

Ce qui s'est passé

Les attaquants n'ont pas pénétré les propres systèmes de Polymarket. Ils ont plutôt compromis une dépendance tierce chargée par le frontend de Polymarket, ce qui leur a permis de servir du JavaScript malveillant aux visiteurs du site. Lorsque les utilisateurs interagissaient avec un marché, le code injecté manipulait les transactions présentées à la signature, de sorte que les victimes qui approuvaient ce qui ressemblait à une action de routine autorisaient en réalité des transferts vidant leur portefeuille.

Selon les analyses de l'incident, les actifs volés — principalement du pUSD, le jeton indexé sur le dollar de Polymarket — ont été convertis en environ 1 893 ETH et transférés du réseau Polygon vers la blockchain Ethereum, une étape de blanchiment courante qui complique la récupération des fonds.

Impact

• Environ 3 millions de dollars d'actifs cryptographiques volés.
• Moins de 15 comptes d'utilisateurs touchés, mais avec des pertes substantielles par compte.
• La plateforme principale et le moteur d'appariement backend de Polymarket sont restés intacts ; la compromission s'est limitée aux interactions frontend des utilisateurs.
• L'entreprise s'est engagée à rembourser intégralement tous les clients touchés.

Pourquoi c'est important

L'incident est un exemple classique de compromission du frontend / de la chaîne d'approvisionnement visant une plateforme financière : même lorsque les serveurs d'une organisation sont bien défendus, une seule dépendance tierce falsifiée chargée dans le navigateur peut transformer le site légitime en surface d'hameçonnage que les utilisateurs n'ont aucune raison de soupçonner. Pour les plateformes de finance décentralisée en particulier — où les utilisateurs signent régulièrement des transactions on-chain via une interface web — la sécurité de chaque script de la chaîne d'approvisionnement frontend est aussi déterminante que celle des contrats intelligents eux-mêmes. L'épisode a également ravivé l'attention des régulateurs sur Polymarket, qui fait par ailleurs l'objet d'un examen de la part des autorités américaines de régulation des produits dérivés.