Attaque de la chaîne d'approvisionnement du frontend Polymarket via DebugBear

Le 29 octobre 2026, Polymarket a été exploité pour environ 2,7 millions de dollars après qu'un prestataire de monitoring tiers compromis a injecté du JavaScript malveillant dans le frontend de sa plateforme internationale de trading.

Ce qui s'est passé

Polymarket a seulement déclaré que « l'un de nos prestataires tiers a été compromis ». Une personne au fait du dossier a indiqué à CNBC que le point d'entrée était un piratage de DebugBear, une entreprise britannique de monitoring de performance de sites web ; DebugBear a confirmé être « touchée par un incident de sécurité en cours ». Hudson Rock a constaté qu'un script chargé depuis l'infrastructure Real User Monitoring de DebugBear contenait du code ciblant les sessions de trading connectées, exécutant des transactions non autorisées directement depuis le navigateur. Les smart contracts de la plateforme n'ont jamais été le point de défaillance. Les analystes blockchain (Betting Intelligence, Polysights et Bubblemaps) ont comptabilisé environ 2,7 millions de dollars drainés depuis près de 700 wallets ; l'adresse présumée de l'attaquant détenait environ 2,65 millions de dollars en POL, le jeton natif de Polygon, après avoir échangé les actifs volés. La plateforme américaine de Polymarket n'a pas été affectée.

Conséquences

Polymarket a placé sa plateforme internationale en mode annulation seule et suspendu le trading pendant environ une heure, avant de le reprendre vers 15:00 ET. L'entreprise a déclaré que les traders affectés « seront indemnisés » et qu'elle « rembourse intégralement tous les traders affectés », et a renvoyé l'affaire aux forces de l'ordre britanniques. Elle n'a pas communiqué de chiffre de pertes confirmé, de nombre d'utilisateurs ni de calendrier de remboursement.

Pourquoi c'est important

C'est la deuxième compromission de la chaîne d'approvisionnement du frontend de Polymarket en 2026, après l'attaque de phishing de frontend de juin qui avait drainé environ 2,94 M$ via un prestataire différent. Cette récidive souligne une faiblesse structurelle des applications web non dépositaires : un seul script tiers — analytique, monitoring ou gestionnaire de balises — chargé dans une page qui signe des transactions devient un accès direct aux fonds des utilisateurs. Comme lors de l'incident précédent, les contrats ont tenu ; pas le navigateur. Cela renforce le thème du catalogue selon lequel les dépendances frontend et tierces constituent désormais une surface d'attaque primaire, indépendamment de la qualité du code on-chain.