Polymarket : des traders vidés via un script de supervision DebugBear détourné

Comment c'est arrivé

L'attaquant a remplacé un script de supervision que Polymarket charge depuis DebugBear. Polymarket indique que « l'attaquant a remplacé le script par un script conçu pour viser les utilisateurs de Polymarket ». DebugBear dit que ses enregistrements DNS ont été compromis via son registrar de domaine, et qu'elle n'a vu aucun signe d'intrusion dans ses propres systèmes. Le registrar n'est pas nommé et la façon dont l'accès au registrar a été obtenu n'est pas publique.[1][2][3][4] Vérifié le 8 nov. 2026

Ce qui a été volé

Des fonds et des positions. The Hacker News rapporte environ 2,7 millions de dollars pris à des traders de Polymarket. Ohey compte 28,6 millions de POL arrivés sur le portefeuille de l'attaquant, plus des stablecoins et des positions de 33 comptes, et note que Polymarket n'a pas publié de chiffre. Les chercheurs n'ont trouvé aucun code envoyant clés, mots de passe ou phrases de récupération à un serveur : le script empruntait la session et le signataire du trader connecté.[2][3] Vérifié le 8 nov. 2026

Qui est touché

726 portefeuilles Polymarket, selon The Hacker News et CircleID. Polymarket indique que les utilisateurs qui avaient le site ouvert pendant une courte fenêtre dans l'après-midi du 29 octobre ont vu leurs sessions actives servir à vendre des positions et à sortir des fonds. Polymarket annonce 3,9 millions de dollars restitués, dont environ 1,2 million pour des pertes liées à la pause du trading, et 95 % des portefeuilles touchés remboursés intégralement à la date de son rapport d'incident.[1][2][4] Vérifié le 8 nov. 2026

Acteur

Non attribué. Aucune attribution. Polymarket a saisi les forces de l'ordre. CircleID rapporte que 12 sites crypto ont subi des détournements DNS distincts les 30 et 31 octobre, et indique qu'aucun lien avec cet incident n'est établi.

Chronologie

1. 29 oct. 2026À 16 h 54 UTC, l'hôte du script DebugBear commence à échouer, puis un autre serveur répond à sa place. Les premiers fonds arrivent sur le portefeuille de l'attaquant à 17 h 10 UTC. [3]
2. 29 oct. 2026Polymarket repère à 17 h 38 UTC une activité non autorisée touchant des portefeuilles d'utilisateurs, et met son exchange en mode annulation seule à 18 h 05 UTC. DebugBear demande à ses clients de retirer son code d'intégration. [1][2][3]
3. 30 oct. 2026Polymarket publie son rapport d'incident : script retiré, caches vidés, toutes les sessions réinitialisées, affaire transmise aux forces de l'ordre, 3,9 millions de dollars restitués. [1]
4. 1 nov. 2026The Hacker News rapporte la déclaration de DebugBear selon laquelle ses enregistrements DNS ont été compromis via son registrar de domaine. [2]