Les utilisateurs de Polymarket perdent environ 2,71 millions de dollars dans une attaque via un script tiers

Les utilisateurs de Polymarket ont perdu environ 2,71 millions de dollars lors d’une attaque du 29 octobre impliquant un script web tiers compromis, selon la société de sécurité GoPlus.

Son analyse blockchain a identifié 710 portefeuilles de dépôt et 731 adresses sur le principal parcours de l’attaque. GoPlus a précisé que ces nombres d’adresses ne permettent pas d’établir le nombre d’utilisateurs individuels touchés. Polymarket a promis de rembourser les participants concernés, mais n’a pas publié d’évaluation définitive des pertes. 

Le code malveillant ciblait les sessions de trading actives

Des chercheurs de Hudson Rock ont identifié du code destiné à vider les portefeuilles dans un script diffusé par l’infrastructure de DebugBear, un fournisseur britannique de surveillance des performances des sites web.

Le script recherchait les sessions de trading actives sur Polymarket, examinait les portefeuilles des utilisateurs et tentait de détourner des actifs. Selon le type de compte, son code cherchait soit à transférer directement les jetons de position, soit à vendre les positions avant de transférer les soldes disponibles.

Les conclusions de Hudson Rock reposaient sur l’examen du code récupéré. Les chercheurs ne l’ont pas exécuté avec un portefeuille connecté et ont souligné que la présence d’une demande de transaction ou de signature ne prouvait pas la réussite de chaque action tentée. 

Les échanges ont repris après environ une heure

Polymarket a d’abord limité sa plateforme aux annulations d’ordres et suspendu les fonctions de relais des transactions pendant l’enquête. Les échanges ont repris environ une heure après la suspension initiale.

La plateforme a déclaré avoir identifié et corrigé le problème lié au prestataire et signalé l’incident aux autorités britanniques chargées de l’application de la loi. DebugBear a reconnu séparément un incident de sécurité et demandé aux clients de son produit Real User Monitoring de retirer le code intégré de leurs sites web. 

Hudson Rock a également trouvé des journaux de compilation de production documentant le retrait de l’intégration DebugBear par Polymarket. Son enquête n’a établi ni le mécanisme de compromission initial ni l’existence d’autres clients de DebugBear touchés. 

Les remboursements importants exigeraient une décharge

Selon CNBC, Polymarket a ensuite indiqué aux utilisateurs sur Discord que ceux ayant perdu moins de 10 000 dollars récupéreraient leurs fonds au plus tard le 30 octobre.

Les utilisateurs dont les pertes dépassaient ce seuil auraient dû signer un formulaire de décharge avant de recevoir leur remboursement. Le reportage n’a pas précisé le traitement des pertes exactement égales à 10 000 dollars ni détaillé l’ensemble des conditions de la décharge. 

Le calendrier de remboursement reflète l’engagement annoncé par la plateforme. Il ne confirme pas que tous les utilisateurs touchés ont déjà reçu leur argent.