Polymarket : piratage d'un vendeur, perte de 2,94 M$
La plateforme indique que la dépendance affectée a été supprimée et que les utilisateurs concernés seront entièrement remboursés.
Polymarket a déclaré qu'il contenait une compromission d'un fournisseur tiers qui a permis aux attaquants d'injecter un script malveillant dans son interface, un analyste estimant qu'environ 2,94 millions de dollars ont été drainés de 11 portefeuilles d'utilisateurs au moins. La plateforme a déclaré que la dépendance affectée avait été supprimée et que les utilisateurs touchés seraient entièrement remboursés.
Points clés
- Une compromission d'un fournisseur tiers a permis l'injection d'un script malveillant dans Polymarket’s interface, touchant plusieurs utilisateurs.
- L'analyste blockchain Specter a estimé qu'environ 2,94 millions de dollars avaient été drainés d'au moins 11 portefeuilles, décrivant le flux comme étant activé par du phishing.
- Polymarket a déclaré que l'incident avait été « contenu », que « la dépendance affectée avait été supprimée » et que les utilisateurs « seraient entièrement remboursés ».
- DefiLlama a enregistré l'événement comme la 89e violation de sécurité crypto signalée du deuxième trimestre par nombre d'incidents et a évalué les pertes dues aux exploits de juin à 74,9 millions de dollars sur 29 incidents.
Compromission du fournisseur Polymarket injecte un script malveillant dans l'interface
Les attaquants ont compromis un fournisseur tiers utilisé par Polymarket et ont utilisé cet accès pour injecter un script malveillant dans l'interface de la plateforme, touchant plusieurs utilisateurs. Le mécanisme est important car il cible la couche web avec laquelle les traders interagissent réellement, et non nécessairement les contrats on-chain.
L'analyste blockchain Specter a estimé que l'incident a drainé environ 2,94 millions de dollars de la part d'au moins 11 portefeuilles d'utilisateurs de Polymarket. Specter a déclaré que le script injecté semblait faciliter le phishing, un schéma où une interface de confiance est manipulée pour tromper les utilisateurs afin qu'ils approuvent des transferts ou révèlent des informations sensibles.
Le paquet n'inclut pas un total de pertes confirmé par la plateforme, le nombre total d'utilisateurs affectés, ni la fenêtre temporelle exacte pendant laquelle le script était actif, au-delà d'une référence à sa découverte jeudi. Cela laisse les traders s'appuyer sur une estimation d'analyste en attendant un décompte final.
Mesures de confinement et engagement de remboursement de Polymarket
Polymarket a déclaré sur X que le compromis « a été contenu » et que la « dépendance affectée a été supprimée ». La plateforme a également indiqué que les utilisateurs concernés « seraient entièrement remboursés ».
Cet engagement de remboursement est le principal stabilisateur du comportement des utilisateurs à court terme. Il peut limiter les dommages à la réputation s'il est exécuté rapidement et proprement, mais il n'élimine pas le risque opérationnel pour les utilisateurs actifs tant qu'il n'y a pas de confirmation des détails de traitement et des cas particuliers.
Dans des incidents comme celui-ci, l'effet de second ordre est souvent la confiance dans l'interface, et pas seulement le montant en dollars perdu.
L'incident survient également après une divulgation distincte de Polymarket environ un mois plus tôt concernant un exploit de 600 000 $ lié à un projet vieux de six ans.clé privéeutilisé pour des opérations de recharge internes. Josh Stevens, vice-président de l'ingénierie chez Polymarket, a déclaré à l'époque que les contrats et les fonds des utilisateurs restaient en sécurité et que les autorisations liées à la clé avaient été révoquées.
Contexte de sécurité : rythme des incidents au T2 et totaux des pertes de juin
DefiLlama a caractérisé l'événement Polymarket comme la 89e violation de sécurité crypto signalée du deuxième trimestre en termes de nombre d'incidents, prolongeant ce qu'il a décrit comme le trimestre le plus piraté jamais enregistré en termes de nombre d'incidents.
Les pertes dues aux exploits de juin ont totalisé 74,9 millions de dollars sur 29 incidents, contre 60,5 millions de dollars en mai et 644 millions de dollars en avril, selon DefiLlama.
La répartition de DefiLlama des 30 derniers jours cadre également l'environnement : les compromissions de clés privées représentaient 43 % des pertes d'exploitation signalées, les exploits de faux preuves étaient de 10 % et les honeypots MEV inversés de 8 %.
L'échelle de Polymarket augmente les enjeux. Les données de DefiLlama placent la plateforme à plus de 450 millions de dollars en TVL, en hausse de 301 % par rapport à 112 millions de dollars l'année dernière. Cette croissance rend l'intégrité du frontend et l'hygiène des fournisseurs plus qu'un simple détail technique, puisque plus de flux de marché prédictif est désormais concentré derrière une seule surface web.
Signaux à surveiller pour les drains de compromis de fournisseurs de Polymarket : 2,9 millions de dollars.
La première confirmation qui compte est de savoir si les remboursements ont réellement été traités, y compris le timing, la méthode et si des utilisateurs tombent dans des cas limites non résolus.
Ensuite, il y a un post-mortem qui nomme le fournisseur tiers ou la dépendance compromis et précise la fenêtre exacte pendant laquelle le script malveillant était actif. Sans cela, les traders ne peuvent pas correctement évaluer l'exposition ou juger si la solution est durable.
Le rapport de pertes est également encore en flux. Toute mise à jour au-delà de l'estimation de Specter, y compris des portefeuilles supplémentaires affectés ou un total confirmé par la plateforme, déterminera si cela reste un incident au niveau utilisateur contenu ou s'étend à un événement de confiance plus large.
Enfin, surveillez le TVL de Polymarket, actuellement rapporté au-dessus de 450 millions de dollars par DefiLlama, pour des signes de rotation de capital à court terme après le déploiement des remboursements. Un TVL stable ou en reprise suggérerait que le marché traite cela comme un accroc opérationnel plutôt que comme un risque structurel.risque de contrepartie..
Le risque de frontend/fournisseur est un mode de défaillance différent du risque de contrat intelligent.
Je ne considère pas cela comme une histoire de contrat intelligent. Le mode de défaillance principal décrit ici est le risque de chaîne d'approvisionnement web, où une dépendance compromise peut transformer un frontend légitime en une surface de phishing et pousser les utilisateurs à signer des fonds.
Le seuil qui importe est l'exécution : si Polymarket effectue des remboursements complets rapidement et publie un post-mortem clair qui réduit la fenêtre d'exposition, cela ressemble plus à un catalyseur de sentiment qu'à un changement fondamental.
Si le total des pertes augmente ou que le traitement des remboursements traîne, la configuration commence à sembler structurelle plutôt que guidée par le récit, car la confiance dans l'interface est le produit.
