La plateforme de marché de prédiction, dont les utilisateurs ont été impactés par un exploit sur son site web ayant entraîné le vol d'environ 3 millions de dollars d'actifs cryptographiques, recevra un remboursement intégral de la part de Polymarket. L'entreprise affirme que l'incident n'est pas dû à un problème lié à l'architecture sous-jacente de la plateforme, mais à un logiciel malveillant qui a été ajouté à l'interface utilisateur (front-end) de la plateforme par un fournisseur tiers compromis.
Le script malveillant n'a été distribué qu'à quelques individus sélectionnés. Il a permis à l'attaquant de drainer les fonds des portefeuilles des utilisateurs lors de leur interaction avec l'interface affectée. Polymarket a ensuite déclaré avoir identifié la cause du problème, isolé la dépendance et commencé à contacter les utilisateurs concernés.
« Notre équipe a découvert qu'un fournisseur tiers avait été compromis, injectant un script malveillant dans notre interface pour certains utilisateurs », a déclaré l'entreprise dans un communiqué. « Nous l'avons contenu, supprimé la dépendance affectée et remboursons intégralement les utilisateurs impactés. »
Environ 15 portefeuilles impactés alors que les fonds volés étaient transférés vers Ethereum
On estime que moins de 15 comptes utilisateurs ont été affectés par l'attaque. Le stablecoin pUSD de Polymarket, que l'attaquant a transféré (bridgé) de Polygon vers Ethereum avant de l'échanger contre environ 1 893 ETH, constituait la majorité des actifs volés.
Plutôt qu'une violation directe des contrats intelligents de Polymarket, les chercheurs en sécurité ont qualifié cet événement de piratage de la chaîne d'approvisionnement (supply chain hack). Cette distinction montre que le protocole central de la plateforme n'a pas été affecté. De plus, l'attaque a utilisé du code tiers piraté sur le site web pour cibler les clients.
Bien que l'entreprise reconnaisse que la vulnérabilité a été corrigée, aucune information n'est disponible concernant le fournisseur ayant subi cette attaque. Polymarket n'a pas non plus effectué d'analyse technique complète de l'attaque.
Un second incident de sécurité soulève de nouvelles inquiétudes
Moins de deux mois se sont écoulés depuis un autre problème de sécurité impliquant un portefeuille sous le contrôle de l'entreprise, utilisé pour distribuer les récompenses aux utilisateurs. Une clé privée compromise serait à l'origine de l'incident précédent, ayant causé des pertes d'environ 700 000 dollars.
L'incident actuel souligne les risques croissants liés aux dépendances logicielles tierces. Bien que la volonté de Polymarket d'indemniser les utilisateurs impactés puisse aider à restaurer la confiance, les attaques sur la chaîne d'approvisionnement deviennent une préoccupation majeure de sécurité pour le secteur crypto, qui dépend de plus en plus de fournisseurs de services extérieurs.
Points forts du marché crypto
Cardano (ADA) envoie des signaux mitigés : une cassure se prépare-t-elle ou une nouvelle chute est-elle en vue ?
