Polymarket siphonné via un script DebugBear : ~2,7 M$ volés

La plateforme de marchés prédictifs Polymarket a suspendu son site international (Polymarket.com) le 29 octobre 2026 après qu'un script tiers chargé sur ses pages a été remplacé par un drainer de portefeuille. Le fournisseur en cause, DebugBear, a confirmé un « incident de sécurité » et demandé à ses clients de retirer le code d'intégration de son produit RUM. Il n'existe pas encore d'avis formel : ce qui suit s'appuie sur les communications de Polymarket et de DebugBear, l'analyse technique publiée par ohey.ca et le compte rendu de Next. Le protocole sous-jacent de Polymarket n'est pas en cause.

Ce que le script a fait

DebugBear vend un outil de Real User Monitoring (RUM) dont le script s'embarque sur les sites clients. Le 29 octobre, ce script servi à Polymarket a été remplacé par du code malveillant. Le drainer a réutilisé le client de trading de Polymarket présent sur la page et signé des transferts à partir des sessions déjà ouvertes par l'utilisateur — sans faille dans les contrats intelligents. Dans la soirée, les domaines de script et de données de DebugBear ont cessé de répondre.

Pertes et calendrier

• Mise en pause : Polymarket.com passe en mode « annulation uniquement » pendant un peu moins d'une heure, puis déclare l'incident résolu vers 15 h (heure de l'Est).
• Montant : les estimations convergent autour de 2,7 M$. Bubblemaps avance plus de 700 utilisateurs touchés ; d'autres relevés on-chain situent le vol entre 2,2 et 2,71 M$.
• Remboursement : Polymarket promet une indemnisation intégrale. Selon CNBC, les pertes inférieures à 10 000 $ devaient être remboursées dès le 30 octobre ; au-delà, l'utilisateur doit d'abord signer une décharge. L'incident a été signalé aux autorités britanniques.

Que faire

1. Si vous avez tradé sur Polymarket.com le 29 octobre, vérifiez votre portefeuille connecté (liquidations ou transferts non autorisés) et révoquez les approbations de jetons encore liées à la plateforme.
2. Clients RUM de DebugBear : retirez immédiatement le code d'intégration, comme l'éditeur le demande, et examinez les sessions de vos propres utilisateurs sur la fenêtre concernée.
3. Tout site embarquant du JavaScript tiers : épinglez les scripts externes via Subresource Integrity quand le fournisseur le permet, encadrez-les par une Content-Security-Policy stricte, et alertez sur tout changement de hash d'un script hébergé à l'extérieur.

Pour mettre en perspective

Attaque de chaîne d'approvisionnement côté client dans sa forme la plus pure : un script de confiance devient le vecteur, les contrats tiennent, c'est le navigateur qui cède. C'est le deuxième incident front-end de Polymarket en 2026, après une compromission d'un autre prestataire en juin, estimée à ~3 M$. En France, le site reste par ailleurs bloqué à la demande de l'ANJ, et l'État de New York poursuit la plateforme pour jeux d'argent illégaux. Les questions ouvertes portent sur la manière dont DebugBear a été compromis, depuis quand, et si d'autres de ses clients ont été servis le code piégé.