Des pirates vident 737 comptes Polymarket de 2,73 millions de dollars en une heure

À retenir - Des pirates ont vidé 737 comptes Polymarket de 2,73 millions de dollars - Des approbations de portefeuille valides ont permis les retraits sans exploiter de faille de contrat intelligent - Polymarket annonce 3,9 millions de dollars de remboursements et de compensations Une attaque coordonnée contre Polymarket a vidé environ 2,73 millions de dollars de 737 comptes utilisateurs en l’espace d’une heure, le 29 octobre, selon une enquête blockchain qui a retracé près de 1 000 retraits non autorisés via l’infrastructure de la plateforme de marché de prédiction. L’enquête de Bitquery établit que les attaquants ont exécuté 985 retraits entre 17h10 et 18h10 UTC, en s’appuyant sur des approbations de portefeuille valides plutôt que sur une vulnérabilité de contrat intelligent. Les fonds ont été convertis en POL, le jeton de Polygon, puis répartis entre plusieurs portefeuilles, certains étant ensuite transférés vers Ethereum. Comment les pirates ont vidé 737 comptes Polymarket Bitquery a identifié une série de retraits automatisés acheminés par le relais de transactions officiel de Polymarket, qui soumet des transactions blockchain autorisées par l’utilisateur sans que les traders aient à payer directement les frais de réseau. Les approbations sont apparues légitimes aux portefeuilles intelligents sous-jacents. Sur un échantillon de 30 retraits, les chercheurs ont constaté que les transactions étaient exécutées trois à sept secondes seulement après la génération des approbations, signe d’une activité automatisée. La perte la plus lourde sur un compte atteint environ 358 000 dollars ; quatre comptes concentrent 43 % des fonds dérobés. À l’inverse, 276 comptes ont perdu moins de 100 dollars chacun. L’attaque rappelle une intrusion de juin qui avait coûté environ 2,94 millions de dollars à au moins 11 portefeuilles. Cet incident impliquait aussi du code malveillant introduit par une dépendance tierce compromise. Polymarket avait déjà subi des compromissions de comptes liées à un fournisseur d’authentification externe, illustration de la façon dont les services connectés à une plateforme peuvent devenir des cibles même lorsque ses contrats blockchain restent intacts. Les enquêteurs traquent les fonds entre Polygon et Ethereum Les chercheurs ont identifié une adresse contrôlée par l’attaquant ayant reçu environ 28,64 millions de POL avant leur dispersion vers trois portefeuilles nouvellement créés. Une partie des fonds a ensuite gagné Ethereum via Relay, deBridge et le pont natif de Polygon. À l’heure de clôture de l’enquête, 19h49 UTC, environ 2,17 millions de dollars restaient dans trois portefeuilles Polygon, un autre portefeuille Ethereum identifié contenant 126,10 ETH. L’attaquant a également transféré les positions de marché de prédiction de 33 comptes et ouvert un nouveau compte Polymarket pour revendre une partie des parts volées. Fait inhabituel, Bitquery a relevé un autre retrait de 10,99 dollars à 19h11 UTC, soit environ 38 minutes après que l’entreprise a déclaré le problème résolu. Cette transaction ne prouve pas que la faille restait exploitable de façon générale, mais elle pose question sur le calendrier de la remédiation. Polymarket annonce 3,9 millions de dollars de remboursements Le rapport d’incident officiel de Polymarket confirme qu’un attaquant a remplacé le script d’un site tiers par du code malveillant visant les utilisateurs ayant la plateforme ouverte. L’entreprise a supprimé le script, vidé les caches, réinitialisé les sessions actives et suspendu temporairement les échanges. Elle indique ensuite avoir intégralement remboursé 95 % des portefeuilles touchés, pour un total de 3,9 millions de dollars. Cette intrusion ajoute une inquiétude de sécurité à un secteur des marchés de prédiction déjà sous surveillance pour l’intégrité de ses marchés et la gestion d’informations de trading sensibles. Elle illustre aussi un risque plus large pour les applications financières décentralisées : même lorsque les contrats blockchain fonctionnent correctement, un logiciel externe compromis peut autoriser des transactions dommageables. Les précédents incidents de sécurité chez Polymarket avaient déjà montré combien il importe de distinguer une véritable compromission d’infrastructure d’autres menaces rapportées.