Une faille d’inscription chez Polymarket aurait permis à des attaquants exploitant des données personnelles volées de prendre le contrôle de près de 500 comptes américains existants fin juillet, ainsi que des moyens de paiement associés.
Points clés :
- Une faille d’enregistrement aurait permis à toute personne disposant des données personnelles d’un trader d’entrer directement dans son compte actif, sans identifiant ni mot de passe
- Les comptes bancaires et cartes de débit liés auraient également été exposés, certains utilisateurs affirmant avoir perdu plusieurs milliers de dollars dans l’indifférence du support
- L’incident intervient après une vague de fraude en février, au cours de laquelle des voleurs ont tenté de faire transiter au moins 10 millions de dollars via des cartes de débit volées
Une faille d’inscription a exposé des traders sur Polymarket
Toute personne ouvrant un nouveau compte avec les données personnelles d’un trader existant, par exemple un numéro de sécurité sociale volé, aurait été automatiquement redirigée vers le profil actif de ce trader, selon une enquête publiée samedi par un quotidien qui a révélé ces éléments.
Les intrus n’avaient besoin ni d’identifiant, ni de mot de passe, ni même d’un téléphone compromis, et les comptes bancaires ainsi que les cartes de débit rattachés à ces profils devenaient eux aussi accessibles.
Une source proche du dossier a indiqué que le montant total détourné restait limité, sans toutefois le chiffrer. Une porte-parole de l’entreprise a, de son côté, assuré que Polymarket rembourserait les pertes subies dans cet incident. Les utilisateurs racontent toutefois une tout autre histoire, évoquant des pertes de plusieurs milliers de dollars et des semaines de messages restés sans réponse du support.
Un trader a ainsi déclaré s’être connecté en juillet pour découvrir que ses positions avaient été soldées et que 5 783,51 dollars de gains avaient été virés vers une carte de débit qui ne lui appartenait pas. Selon lui, la société a crédité son compte de 25 dollars, sans fournir d’explication, avant de geler le compte après deux envois successifs de pièces de vérification.
À lire aussi : Les prévisions Nvidia pour 2030 laissent entrevoir un écart de 727 à 28 560 dollars
Checkout.com avait alerté avant la réponse de Shayne Coplan
Cette faille de comptes a succédé à une vague plus large de fraudes en février, lorsque des voleurs ont associé des cartes de débit volées à des milliers de nouveaux comptes américains et tenté de faire transiter au moins 10 millions de dollars. À un moment donné, le prestataire de paiement Checkout.com a rejeté plus de 80 % des dépôts pour suspicion de fraude, contre une norme sectorielle d’environ 1 %. Les taux de fraude sont revenus à la normale en mai, après que l’entreprise a limité le nombre de cartes de débit par compte et recruté le spécialiste antifraude Riskified.
Les équipes conformité ont remonté le problème au directeur général Shayne Coplan, qui leur aurait répondu de poursuivre la croissance et de payer une amende si les régulateurs découvraient un jour l’affaire, selon des employés actuels et anciens. D’après les personnes interrogées pour ce reportage, la réponse aurait surpris l’équipe.
Le dispositif de sécurité de Polymarket de nouveau sous pression
Des analystes ont mis en doute le fait que la croissance ait pu prendre le pas sur la conformité dans une société qui cherche désormais à lever des fonds sur la base d’une valorisation d’environ 21 milliards de dollars. Ils soulignent également que le chiffre de 10 millions de dollars correspond à des tentatives de vol, et non à des pertes confirmées. Polymarket affirme avoir renforcé ses systèmes, et un audit interne mené par le cabinet Sullivan & Cromwell a conclu que l’entreprise respectait la réglementation.
La faille de juillet a clos une période difficile pour la plateforme, qui n’a pas publié de bilan public sur l’incident d’inscription. En juin, la société a confirmé qu’un prestataire compromis avait injecté un script malveillant sur son site, et que des attaquants avaient détourné environ 3,1 millions de dollars provenant de 11 portefeuilles d’utilisateurs, avant l’annonce de remboursements.
À suivre : Google Gemini pirate 3 entreprises lors des premières intrusions autonomes connues
