Polymarket a restreint les transactions au mode annulation uniquement et suspendu les actions du relayer pendant qu'il enquête sur un incident survenu le 29 octobre, alors que des utilisateurs ont signalé des retraits non autorisés et qu'un compte de réseau social a allégué des pertes de 2,68 millions de dollars.
Résumé
- Polymarket a restreint les transactions et suspendu les actions du relayer pendant qu'il enquête sur un incident.
- Un trader nommé Car a déclaré avoir perdu 800 000 dollars et a affirmé que toutes ses positions avaient été vendues.
- StarPlatinum a allégué 2,68 millions de dollars de pertes, sans confirmation officielle du montant ni de la cause.
- Les mises à jour de statut de l'entreprise ont décrit une enquête sans confirmer une compromission du frontend.
L'avis d'incident de Polymarket enregistre la perturbation à 18h05 UTC et la classe comme une panne majeure affectant son API de trading de prédictions, connue sous le nom de CLOB.
Polymarket autorise les annulations tandis que les nouvelles transactions s'arrêtent
Dans une mise à jour de statut, la plateforme a indiqué que les utilisateurs pouvaient annuler les ordres existants, mais que les nouveaux ordres et transactions n'étaient pas traités. Les actions du relayer sont restées suspendues pendant l'enquête, selon la mise à jour publiée par Polymarket Status.
L'avis d'incident indique que la plateforme d'échange est en « mode annulation uniquement et actions du relayer suspendues ». Sa liste des services affectés identifie Predictions et l'API de trading de prédictions, sans nommer un fournisseur compromis, décrire une méthode d'attaque ni fournir d'estimation des pertes.
L'heure enregistrée dans l'avis correspond à 14h05, heure d'été de l'Est, le 29 octobre.
Ni l'avis ni les publications de statut examinées n'ont annoncé de programme de remboursement, de date limite pour que les clients retirent leurs fonds, ni de calendrier pour rétablir les transactions normales.
Des traders signalent des pertes et soupçonnent une compromission du frontend
Publiant sur X, un trader utilisant le nom Car a déclaré que son compte avait été vidé de 800 000 dollars et a affirmé qu'un ami avait perdu 600 000 dollars. Dans une réponse, il a écrit : « Toutes mes positions ont été vendues », en lien vers son profil public Polymarket.
Dans une publication ultérieure, Car a décrit les précautions qu'il dit prendre systématiquement, notamment en séparant l'activité personnelle, le développement et le trading sur différents appareils. Il a soupçonné une compromission du frontend parce que plusieurs utilisateurs semblaient être affectés, mais a présenté cette explication comme une possibilité.
Jeremy, un autre utilisateur de X, a décrit Polymarket comme ayant été piraté et a déclaré que son frontend aurait été compromis. Sa publication incluait l'avis de panne de la plateforme et une image d'une demande de signature de message de portefeuille affichant le domaine Polymarket.
L'image de signature montre un champ de données intitulé « DepositWallet », l'ID de chaîne 137 et un indicateur « Unverified ». L'image n'affiche pas de transaction finalisée, de hash de transaction ni le champ complet du contrat de vérification.
Un compte distinct, StarPlatinum, a allégué que des centaines de retraits avaient transité par l’infrastructure de portefeuille de dépôt de Polymarket, un portefeuille destinataire accumulant des fonds sur environ une heure.
Selon la chronologie de ce compte, le portefeuille a commencé à recevoir des fonds à 17h05 UTC, détenait 412 000 $ à 17h25, a atteint 2,02 millions de dollars à 17h50 et a culminé à 2,68 millions de dollars à 18h05. Des activités suspectes étaient encore enregistrées à 18h10, selon la publication.
StarPlatinum a identifié une adresse de destinataire suspectée et un proxy Deposit Wallet Factory, et a allégué que l’infrastructure de transactions sponsorisées de Relay était impliquée. Le compte a explicitement déclaré que les soupçons d’un frontend compromis n’avaient pas été officiellement confirmés.
La même publication affirmait que le destinataire avait accumulé 28,6 millions de POL, les fonds étant convertis à partir des soldes de dépôt des utilisateurs.
Les chiffres restent des estimations issues des réseaux sociaux. Les déclarations examinées de Polymarket n’ont pas confirmé les pertes individuelles rapportées, le montant total, l’identité du destinataire ni la voie de transaction proposée.
L’attaque de Polymarket en juin a suscité un engagement de remboursement
En juin, Polymarket a reconnu qu’un fournisseur tiers compromis avait permis l’introduction d’un script malveillant dans son frontend pour certains utilisateurs, comme crypto.news l’a précédemment rapporté dans sa couverture de son engagement de remboursement antérieur.
Une estimation ultérieure des pertes a atteint 3,1 millions de dollars, selon AMLBot. Dans son évaluation du 27 juin, la société a décrit des fonds prélevés en PUSD sur Polygon, convertis via Relay, pontés vers Ethereum et échangés en ETH.
L’engagement de remboursement antérieur concernait l’incident de juin. Les avis du 29 octobre examinés ne contenaient aucune promesse équivalente concernant les pertes nouvellement rapportées.
Une plateforme américaine distincte opère sous les règles fédérales sur les dérivés
La plateforme blockchain internationale de Polymarket et son exchange réglementé américain fonctionnent comme des plateformes distinctes. Une couverture mise à jour le 31 juillet décrit le service international comme basé sur un portefeuille, tandis que l’exchange américain opère via une bourse et une chambre de compensation agréées par la CFTC.
L’avis d’incident du 29 octobre examiné nomme l’API Predictions Trading sur le site de statut du service international. Il n’identifie pas l’exchange américain distinct comme une plateforme affectée.
Ailleurs sur les marchés de prédiction, Predict.fun a confirmé des transferts de portefeuille non autorisés totalisant environ 400 000 USDT dans une déclaration du 27 octobre. Son enquête préliminaire pointait vers une possible compromission d’un site de documentation API hébergé en externe.
Predict.fun a déclaré que le site de documentation affecté resterait hors ligne pendant son enquête et a promis un remboursement intégral des pertes résultant directement de cet incident. L’entreprise s’est engagée à publier un post-mortem détaillé après avoir terminé l’enquête.
