Un outil de mesure de vitesse piégé a vidé plus de 700 portefeuilles sur le site de paris Polymarket

Le 29 octobre, en fin d'après-midi heure de Paris, des utilisateurs de Polymarket voient leur solde fondre sans avoir rien touché. Leurs positions sont vendues, leurs fonds partent vers une adresse inconnue. Le site de paris en cryptomonnaies n'a pas été piraté directement : c'est un petit script tiers, chargé sur chaque page pour mesurer la vitesse d'affichage, qui s'est retourné contre ses visiteurs.

Polymarket a publié son analyse le 30 octobre. Selon l'entreprise, le script de surveillance des performances d'un prestataire a été remplacé par une version malveillante. Pour les utilisateurs qui avaient le site ouvert pendant une courte fenêtre, ce code a utilisé leur session active pour vendre leurs positions et transférer leurs fonds. D'après les sociétés d'analyse Betting Intelligence et Polysights, citées par Hackread, environ 2,7 millions de dollars ont été pris dans 710 portefeuilles.

Un outil de mesure devenu un voleur

Polymarket ne nomme pas son prestataire. La société Hudson Rock l'a identifié comme DebugBear, une entreprise britannique qui mesure les performances des sites web. DebugBear a confirmé sur X être touchée par un « incident de sécurité en cours » et a demandé aux clients de son service de mesure en conditions réelles de « retirer le code d'intégration » de leur site.

Un chercheur qui signe Kirk, sur le site Ohey, a retracé la chronologie. Selon lui, le serveur du script a commencé à renvoyer des erreurs à 16 h 54 (heure UTC), puis a servi un programme d'environ 15 ko. Ce code utilisait le propre client de trading de Polymarket présent dans la page, et, hormis celles de DebugBear, toutes les adresses qu'il contactait figuraient dans la politique de sécurité du contenu du site. Les données des victimes partaient vers un serveur du domaine de DebugBear. Vers 17 h 59 (UTC), Polymarket a préparé une nouvelle version de son site qui retirait le script.

Comment Polymarket rembourse

La plateforme a coupé le trading et vidé ses caches, puis a déconnecté toutes les sessions. Elle annonce 3,9 millions de dollars de remboursements : 2,7 millions pour les pertes liées à l'attaque et 1,2 million pour les pertes dues à la pause du trading. Aucune démarche n'est demandée aux victimes, identifiées grâce aux données de la blockchain. Le 30 octobre, environ 95 % des portefeuilles touchés avaient été remboursés, selon Polymarket. L'affaire a été transmise aux forces de l'ordre.

Hudson Rock dit ne pas pouvoir établir le nombre total de victimes ni identifier l'attaquant. DebugBear indique seulement que ses enregistrements DNS ont été compromis par l'intermédiaire de son bureau d'enregistrement de nom de domaine.

Vos scripts tiers sont-ils sous contrôle ?

Le scénario n'est pas propre aux cryptomonnaies. Tout script chargé depuis le serveur d'un prestataire s'exécute avec les mêmes droits que votre code, comme l'a montré la mise à jour piégée de Rank Math PRO dans un autre registre. Quelques mesures :

• Faites l'inventaire des scripts externes chargés par vos pages, surtout celles où l'utilisateur est connecté ou paie.
• Si vous utilisez DebugBear, suivez sa consigne : retirez le code d'intégration jusqu'à nouvel ordre.
• Ne comptez pas sur la seule politique de sécurité du contenu (CSP) : ici, le code malveillant venait d'un domaine autorisé. Gareth Bowker, de Jscrambler, cité par Hackread, le souligne.
• Figez les versions quand c'est possible, avec un contrôle d'intégrité (SRI), ou hébergez une copie vérifiée. Ce contrôle reste difficile pour les scripts de mesure que les éditeurs modifient souvent.
• Isolez les scripts non essentiels des pages sensibles et surveillez tout changement de leur contenu.

Polymarket dit redéployer ses scripts tiers avec ces garde-fous. C'est la deuxième compromission d'un prestataire qu'elle subit cette année, après celle de juin, selon Hackread. Reste à savoir comment l'attaquant a pris la main sur les DNS de DebugBear, et si d'autres sites ont chargé le même code.