Polymarket suspend ses échanges après une attaque de chaîne d'approvisionnement de 2,7 millions de dollars

Le 29 octobre 2026, Polymarket — le marché prédictif adossé aux cryptomonnaies — a suspendu les échanges sur sa plateforme internationale après qu'une attaque de chaîne d'approvisionnement a injecté dans son site un code vidant les portefeuilles. Le JavaScript malveillant détournait les sessions authentifiées des utilisateurs et manipulait les transactions présentées à l'approbation, dérobant environ 2,7 millions de dollars d'actifs cryptographiques avant que l'entreprise n'interrompe les échanges. Polymarket a indiqué que son propre backend n'avait pas été compromis et que l'incident provenait entièrement d'un prestataire tiers.

Comment l'attaque s'est déroulée

Les chercheurs de Hudson Rock ont relié le code falsifié à un fichier JavaScript diffusé par DebugBear, une société britannique de surveillance des performances de sites web dont l'extrait de suivi des utilisateurs réels (RUM) était chargé par le frontend de Polymarket. DebugBear a confirmé avoir été « touché par un incident de sécurité en cours » et a conseillé à ses clients de retirer son extrait. Parce que le script malveillant s'exécutait dans le navigateur des visiteurs, les utilisateurs qui approuvaient ce qui ressemblait à des actions de marché ordinaires autorisaient en réalité des transferts qui vidaient leurs portefeuilles — une compromission côté navigateur qui a laissé intacts les serveurs et le moteur d'appariement des ordres de Polymarket.

Ampleur et réponse

Les estimations de la perte ont varié au fil du suivi des portefeuilles des attaquants : Hudson Rock a identifié environ 2,19 millions de dollars sur une adresse de repli dont il a précisé qu'elle ne constituait pas un total vérifié, tandis que GoPlus situait le chiffre près de 2,71 millions de dollars et dénombrait plusieurs centaines d'adresses de dépôt — un décompte qui, a-t-il souligné, n'équivaut pas au nombre de victimes. Polymarket a basculé sa plateforme en mode « annulation uniquement », suspendu les actions de relais et saisi les forces de l'ordre britanniques. Les échanges ont repris environ une heure après l'interruption, et l'entreprise s'est engagée à ce que « toute personne touchée soit indemnisée ». La plateforme américaine distincte de Polymarket n'a pas été affectée. Il s'agissait de la deuxième compromission de chaîne d'approvisionnement visant le frontend de Polymarket en 2026, après une attaque de juin qui avait dérobé environ 3 millions de dollars, soulignant combien les scripts tiers exécutés dans le navigateur sont devenus un point faible récurrent pour les plateformes crypto.