Polymarket a rejeté l’affirmation d’un vendeur du dark web faisant état d’une fuite de données clients, en déclarant que les 300 000 enregistrements proposés étaient déjà accessibles publiquement via ses flux on-chain et ses API.
Annonce du pirate et réponse de Polymarket
Un acteur du dark web utilisant le pseudo « xorcat » a posté mardi sur DarkForums, affirmant avoir extrait plus de 300 000 enregistrements, dont 10 000 profils utilisateurs avec noms, images de profil et adresses de portefeuilles.
La publication a été signalée par Dark Web Informer et la société de cybersécurité Vecert Analyzer.
Polymarket a qualifié ces rapports de « absurdités totales et complètes ». La plateforme a indiqué que les données se trouvent derrière des points de terminaison publics et des enregistrements on-chain que n’importe quel développeur peut récupérer gratuitement.
xorcat a indiqué que l’ensemble de données avait été assemblé via des points de terminaison d’API non documentés, un contournement de la pagination et une mauvaise configuration CORS sur les API Gamma et CLOB.
Also Read: Worldcoin Sees $52M In Volume As Digital Identity Narrative Regains Attention
Chercheurs et programme de primes
Le vendeur a indiqué que la fuite était justifiée parce que Polymarket n’exploitait aucun programme de primes aux bugs. Cette affirmation est incorrecte.
Un programme actif a été ouvert le 16 avril et a enregistré 446 rapports mercredi, selon sa fiche sur Cantina.
Vladimir S, directeur de la sécurité chez Legalblock, a déclaré que l’annonce ressemblait à des données publiques analysées et présentées comme une fuite de base de données plutôt qu’à une véritable compromission.
Polymarket a déjà été touché par le passé. Des vidages de comptes liés à un fournisseur de connexion tiers sont apparus fin 2025, et une attaque de manipulation de nonce off-chain a frappé des bots de trading en février, sans affecter les contrats centraux de la plateforme.
Read Next: Terra Luna Classic Gains 5.3% As Community Burn Attention Returns