Que s'est-il passé ?
La plateforme de marchés prédictifs Polymarket a connu, selon le site CryptoSlate, son deuxième incident de sécurité à impact de plusieurs millions en l'espace de quatre mois. D'après la même source, il s'agit de deux cas distincts : en juin, un vol a été signalé, et en octobre, les fonds ont ensuite été récupérés ("recovered code"). CryptoSlate en déduit qu'il s'agit d'une vulnérabilité récurrente au sein de l'interface de trading de la plateforme.
L'attaque contre Polymarket a également été mentionnée comme une brève par Kryptonovinky.cz et Kryptonovinky.sk, qui ont intégré l'événement dans un aperçu plus large de l'actualité du marché.
Avertissement important : le montant exact des dommages, la description technique de la vulnérabilité ainsi que l'identité de l'attaquant ne sont pas indiqués dans les sources disponibles. Ces détails restent pour l'instant inconnus.
S'agit-il d'un problème systémique ou de deux événements sans lien ?
Il faut ici séparer les faits de l'interprétation. Le fait est que CryptoSlate rapporte deux incidents dans une fenêtre de quatre mois. L'interprétation proposée par CryptoSlate est que les deux événements révèlent une "exposition récurrente" au sein de l'interface de trading.
Le fait que les deux cas soient techniquement liés (même vecteur d'attaque, même faille) ne ressort pas des sources disponibles. De même, il n'est pas confirmé quelles mesures de sécurité concrètes Polymarket a prises après l'incident de juin. CryptoSlate indique explicitement que les changements de sécurité plus larges restent flous.
Que lance la plateforme entre-temps ?
Sur la même période, Polymarket élargit son offre de produits. Selon le site The Defiant, la plateforme a ajouté des paris de quinze minutes sur l'or et l'argent, construits à partir des données de prix du réseau Chainlink.
The Defiant décrit le mécanisme ainsi :
| Paramètre | Détail (selon The Defiant) |
|---|---|
| Type de contrat | Paris de 15 minutes sur l'or et l'argent |
| Source des prix | Chainlink (start-and-end spot price) |
| Coût pour un taker US | env. 1,74 USD pour 100 contrats négociés à 50 cents |
| Remarque | avant rabais |
Le terme "taker" désigne la partie qui accepte une offre existante dans le carnet d'ordres (par opposition au "maker", qui fournit la liquidité). Le "spot price" est le prix de marché actuel de l'actif sous-jacent.
Aucune des sources n'affirme de lien entre le lancement de nouveaux produits et les incidents de sécurité. Nous présentons les deux séparément.
Quel était l'état du marché à ce moment-là ?
Kryptonovinky.cz et Kryptonovinky.sk ont replacé l'information sur Polymarket dans le contexte d'une journée de marché plus large. Selon les données de CoinGecko, que les deux sites citent, le vendredi matin se négociaient :
| Actif | Prix | Variation journalière | Variation hebdomadaire |
|---|---|---|---|
| Bitcoin | 78 186 USD | -2,07 % | -4,63 % |
| Ether | 2 238 USD | -3,11 % | -7,46 % |
Les deux sites renvoyaient en outre aux données sur les ETF Bitcoin spot américains de Farside Investors pour le jeudi 29 (le mois exact n'est pas indiqué dans l'extrait disponible). Ces données de marché n'ont pas de lien direct avec l'incident de Polymarket, elles servent uniquement de repère temporel.
Que surveiller pour ce type d'événements ?
Il ne s'agit pas d'un conseil sur ce qu'il faut faire de son argent, mais de savoir quelles informations donnent une image plus complète :
- Communication officielle de la plateforme. Si Polymarket publiera un post-mortem avec une description technique et des mesures correctives concrètes.
- Ampleur des dommages. Le montant confirmé et le fait de savoir si les utilisateurs finaux ont été touchés, ou bien les fonds de la plateforme.
- S'il s'agissait du même vecteur. Confirmation ou démenti du fait que les cas de juin et d'octobre partagent la même cause.
- Trace on-chain. Pour ce type d'incidents, les mouvements de fonds sont généralement traçables sur la blockchain, ce qui permet une vérification indépendante.
Dès que ces informations seront disponibles, charliedesk reviendra sur l'affaire et les comparera avec ce que l'on sait aujourd'hui.