Polymarket a déclaré qu’il rembourserait intégralement les utilisateurs après qu’un script de prestataire compromis a siphonné environ 3 millions de dollars sur moins de 15 comptes.
Points clés :
- Polymarket a indiqué qu’un prestataire tiers compromis avait injecté du code malveillant dans son frontend.
- Des chercheurs en sécurité ont suivi environ 3 millions de dollars de pertes sur moins de 15 comptes affectés.
- La faille fait suite à un autre incident impliquant un portefeuille d’admin qui n’a pas affecté les fonds des utilisateurs.
Piratage de Polymarket
Polymarket a confirmé vendredi que des attaquants avaient utilisé un prestataire tiers compromis pour placer du code malveillant dans son frontend, exposant certains utilisateurs à une attaque de vidage de portefeuille.
La faille a été signalée pour la première fois par le chercheur on-chain en sécurité Specter, qui a indiqué qu’une campagne de phishing apparente avait vidé des fonds de plus de 11 portefeuilles détenant du PUSD (PUSD), le stablecoin de Polymarket.
Specter a estimé les pertes à 2,94 millions de dollars, tandis que PeckShield a ensuite confirmé un chiffre similaire et indiqué que l’attaquant avait transféré des fonds de Polygon (POL) vers Ethereum (ETH), puis les avait convertis en 1 893 ETH.
La plateforme a reconnu la faille via son compte Polymarket Traders sur X, indiquant que la dépendance affectée avait été supprimée et que les utilisateurs touchés seraient contactés directement.
« Ce matin, nous avons découvert qu’un prestataire tiers avait été compromis, injectant un script malveillant dans notre frontend pour certains utilisateurs. Nous avons contenu l’incident et supprimé la dépendance affectée », a‑t‑elle écrit. « Nous contactons les utilisateurs impactés et les remboursons intégralement. »
À lire aussi : Le cofondateur d’Anthropic affirme que le premier véritable choc de l’emploi causé par l’IA frappe les diplômés
Conséquences sur la sécurité
William LeGate, qui travaille en étroite collaboration avec la plateforme, a répété que le problème avait été résolu et a indiqué que les utilisateurs affectés recevraient une compensation intégrale.
GoPlus Security a décrit l’incident comme une attaque de la chaîne d’approvisionnement, indiquant qu’environ 15 comptes avaient été affectés et que les pertes totalisaient 3 millions de dollars.
Bubblemaps est arrivé à la même conclusion générale et a salué la réponse de Polymarket après que les fonds ont été siphonnés et que l’exploit a été contenu.
La dernière faille accroît la pression car elle fait suite à un autre incident le mois dernier, lorsqu’un portefeuille d’admin utilisé pour recharger les récompenses des employés a perdu environ 700 000 $, probablement en raison de la compromission d’une clé privée.
Le détective on-chain ZachXBT avait d’abord estimé cette perte antérieure à environ 520 000 $, avant que Bubblemaps ne cite plus tard le chiffre plus élevé après avoir suivi les fonds à travers plusieurs adresses.
Le développeur Josh Stevens a indiqué qu’une clé privée vieille de six ans avait été exposée via une configuration interne, après quoi l’entreprise a fait tourner les identifiants et adopté des services de gestion de clés.
Les deux failles ont touché des systèmes autour des marchés de prédiction plutôt que les marchés eux‑mêmes, mais elles sont survenues durant une période difficile pour l’entreprise. Le Wall Street Journal a récemment rapporté que Polymarket payait des créateurs de l’âge universitaire 2 000 à 3 000 dollars par mois pour publier des vidéos de paris mises en scène, et un autre trader a affirmé ce mois‑ci que des changements de règles liés à un marché de vente de Bitcoin Strategy lui avaient coûté 500 000 $.
À lire ensuite : Les pirates BlueNoroff de la Corée du Nord ont utilisé de faux appels Zoom générés par IA pour infiltrer 100 dirigeants de la crypto